Wi-FiポータルのログインとVPNログインを分けて考える
同じ「サインイン」を求める二つの系統があります。場所のWi-FiとVPNゲートウェイです。画面上は似ていても、認可する対象はまったく違います。どの画面でも問いかけてください。この秘密を本当に検証できるのは誰か。
公共ネットワークで何か役に立つものに到達する前に、二つの異なる系統、すなわち場所のWi-FiとVPNゲートウェイがサインインを求めます。画面上は似ていますが、認可する対象はまったく違います。ポータルはこの端末がローカルネットワークを使えるかを決め、VPNはあなたが別の場所のプライベートネットワークに到達できるかを決めます。私はどの画面でも「この秘密を本当に検証できるのは誰か」という一つの質問で両者を切り分けます。以下はホテル、空港、会議場で私が使うチェックリストで、入力する手を止める地点も含まれます。
各ログインを検証する側のサービスに対応づける
ホテルの接続一回でも四つの別々の確認が関わり、入力を求めるのはその一部だけなので、まず順番に並べてください。画面はどの段階に属するかをほとんど示しません。
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
オフィスや大学で一般的な802.1Xネットワークは、最初の二行を曖昧にします。そこではWi-Fiのサインイン自体がRADIUSサーバーに対する本人確認であり、クライアントはルーティング用のIDを提示しながら、実際のアカウントは暗号化された交換の中を移動します。それでも確認の対象はネットワークへの参加であり、トンネルを認可するものではなく、VPNゲートウェイもそれを何かの証明としては受け取りません。
順序はラベルより重要です。キャプティブポータルが存在するのは、接続後にアクセスを付与できるためであり、だからこそ場所はページを専門事業者に任せられます。IETFのRFC 8952はポータルを独立した構成要素として扱うので、未知のドメインは検証する理由であって、それ自体が詐欺の証拠ではありません。ドメインは場所の書面の指示と、項目は表と照合してください。
ポータルが要求してよいものを確認する
ポータルの項目が扱うのは権利であり身元ではなく、部屋番号、予約の姓、バウチャーコード、キーホルダーに印刷されたコード、期限付きパスのメールアドレス、規約への同意です。場所は誰が部屋を予約したかをすでに知っているので、あなたとして他の場所で振る舞える情報を学ばずに照合できます。
この一覧を超えるものは一度止まる価値があります。ホットスポットのページドメインパスワードを検証できません、またVPNのワンタイムコード、回復コード、秘密鍵も検証できず、求める理由もありません。唯一の正当な例外は組織が運営するネットワークで、オフィスのゲストSSIDや会議のWi-Fiは、仕事ですでに使っているIDプロバイダーへあなたを導くことがあります。それでも見分けはつき、サインインのホストは日頃のもので、同意画面はあなたのテナントを示し、流れは目に見えるブラウザタブで開きます。
マーケティングのメールは別で、旅行用のエイリアスなら勤務先のIDを渡さずに項目を満たせます。
VPNクライアントが自分の資格情報を求めているか確認する
クライアントが求めるのはそのプロファイルが使うよう設定されているものだけなので、想定される画面はプロファイルの性質であり、たまたまいるネットワークの性質ではありません。証明書プロファイルは通常プロファイルの選択を表示し、そのまま静かに接続します。ユーザー名とパスワードのプロファイルは両方を求め、しばしばワンタイムコードを伴います。SSOプロファイルはブラウザをIDプロバイダーへ開き、トークンを持って戻ります。WireGuardはまた別で、公開鍵で端末を認証し、ユーザーログインを持たないので、WireGuardのユーザー名とパスワードを求める画面はWireGuardを説明していません。
旅行前にプロファイルを読んでください。OpenVPNではauth-user-passがパスワード入力を想定していることを示し、cert、key、pkcs12は証明書が仕事をするはずだという意味です。通常は入力なしで接続するプロファイルが突然パスワードを求めたら、証明書を読み込めなかったか別の方式に落ちたプロファイルを疑ってください。入力要求は、現れたどの画面にも勤務先のパスワードを打ち込んでよいという招待ではありません。
正当なVPNクライアントが、部屋番号、ポータルのバウチャー、Wi-Fiのパスフレーズを認証入力として求めることはありません。それが起きたら、クライアントが名乗るものではないか、キャプティブポータルがトンネル形成前に通信を傍受し、ログインに見せかけたHTMLページをあなたが読んでいるかのどちらかです。
次の五つの条件で止める
ここが、もっともらしい回避策で進む代わりに私が止まる地点です。どれも確認は安く、間違えると高くつきます。
- ポータルまたはSSOページに証明書かTLSの警告が表示されます。ネットワークに到達するためにクリックで通過しないでください。
- ページはVPNゲートウェイかIDプロバイダーだけが検証できるドメインパスワード、ワンタイムコード、回復コード、秘密鍵を求めています。
- ドメインが場所の印刷された指示とも、組織が自社サービス用に文書化しているサインインホストとも一致しません。
- 端末管理から配布されていないルート証明書、構成プロファイル、補助アプリのインストールを求められています。
- 自分で開始していないMFA承認が届くか、VPNクライアントがホテルの資格情報を求めています。
代わりは別のパスワードではありません。スマートフォンのテザリングを使い、フロントで正確なネットワーク名と接続方法を尋ね、そのページをネットワークの運用者かIT窓口に報告してください。どれも、帰属できないページに対して資格情報を試すことを要求しません。
失敗を正しい段階に結びつける
両方の段階を通過しても失敗は起き、エラーを順に読めばたいてい関連付け、アドレス割り当て、ポータル認可、トンネル確立、そして内部リソースのどこで止まったかが分かります。ポータルのコードが切れたからとVPNパスワードを変えるのは時間の無駄で、本当の問題をそのまま残します。
いくつかの試験で段階を切り分けられます。ポータルのサインイン後に、普通の公開HTTPSページを要求してください。代わりにポータルが返るなら、その層で認可が完了していません。VPNクライアントがゲートウェイに到達できないと報告するなら、問題はトンネルの下にあり、ポータルのセッション、名前解決、ポートを塞ぐネットワークのいずれかです。トンネルが上がり、内部のホスト名が一つだけ失敗するなら、プライベートネットワーク内の名前解決かポリシーが疑わしいです。
ポータルのセッションもトンネルとは独立に失効します。場所がアクセスを取り消すと、資格情報が誤っていなかったのに確立済みのVPN接続が落ちます。ポータルを再認可し、それからVPNを再接続して再交渉させてください。そのときにVPNパスワードを変えても何も直らず、締め出されることがあります。
それぞれの秘密は、それを検証できる系統にだけ渡し、表に合わない要求は回避すべき手順ではなく停止の合図として扱ってください。両方の段階を通ってなおトンネルが拒むなら、どの資格情報も変える前にクライアントの正確なエラーを記録してください。