გაყავით Wi-Fi პორტალის და VPN-ის შესვლები ერთმანეთისგან
ორი სხვადასხვა სისტემა ითხოვს შესვლას: ადგილის Wi-Fi და თქვენი VPN-კარიბჭე. ეკრანზე ისინი ერთნაირად გამოიყურება, მაგრამ სრულიად განსხვავებულს უშვებს. ყველა ფანჯარაში იკითხეთ: ვის შეუძლია ნამდვილად გადაამოწმოს ეს საიდუმლო?
ორი სხვადასხვა სისტემა გთხოვთ შესვლას, სანამ საჯარო ქსელში რაიმე სასარგებლოს მიაღწევთ: ადგილის Wi-Fi და თქვენი VPN-კარიბჭე. ეკრანზე ისინი ერთნაირად გამოიყურება და სრულიად განსხვავებულს უშვებს. პორტალი წყვეტს, შეიძლება თუ არა ამ მოწყობილობამ ადგილობრივი ქსელის გამოყენება; VPN წყვეტს, შეიძლება თუ არა თქვენ სხვაგან კერძო ქსელს მიაღწიოთ. მე მათ განვაცალკევებ ყველა ფანჯარაში ერთი კითხვის დასმით: ვის შეუძლია ნამდვილად გადაამოწმოს ეს საიდუმლო? შემდეგია ის საკონტროლო სია, რომელსაც ვიყენებ სასტუმროებში, აეროპორტებსა და კონფერენციების ადგილებში, მათ შორის ის პუნქტები, სადაც აკრეფას ვწყვეტ.
თითოეული შესვლა დაუკავშირეთ იმ სერვისს, რომელიც ამოწმებს მას
ერთი სასტუმროს კავშირი შეიძლება მოიცავდეს ოთხ ცალკე შემოწმებას და მხოლოდ ზოგიერთი ითხოვს თქვენს შეტანას. ჯერ დაალაგეთ ისინი რიგზე, რადგან ეკრანი იშვიათად ამბობს, რომელ ეტაპს ეკუთვნის.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X ქსელები, გავრცელებული ოფისებსა და უნივერსიტეტებში, ბუნდოვანს ხდის პირველ ორ სტრიქონს. იქ Wi-Fi-ში შესვლა თავად არის იდენტობის შემოწმება RADIUS სერვერის წინაშე და კლიენტს შეუძლია წარადგინოს მარშრუტიზაციის იდენტობა, სანამ ნამდვილი ანგარიში დაშიფრული გაცვლის შიგნით მოძრაობს. მაშინაც კი შემოწმება ქსელში გაწევრიანებას ეხება; ის არ უშვებს გვირაბს და VPN-კარიბჭე მას რაიმეს მტკიცებად არ იღებს.
თანმიმდევრობა უფრო მნიშვნელოვანია, ვიდრე ეტიკეტები. ტყვე პორტალები არსებობს იმიტომ, რომ წვდომა დაკავშირების შემდეგ შეიძლება მიენიჭოს, ამიტომ ადგილს შეუძლია გვერდი სპეციალიზებულ მომწოდებელს გადასცეს. IETF-ის RFC 8952 პორტალს საკუთარ კომპონენტად განიხილავს, ამიტომ უცნობი დომენი შემოწმების მიზეზია და არა თავისთავად თაღლითობის მტკიცება. შეადარეთ დომენი ადგილის წერილობით მითითებებს და ველები ცხრილს.
შეამოწმეთ, რისი თხოვნა შეუძლია პორტალს
პორტალის ველები უფლებას ეხება და არა იდენტობას: ოთახის ნომერი, ჯავშნის გვარი, ვაუჩერის კოდი, გასაღების გარსაცმზე დაბეჭდილი კოდი, ელფოსტა დროებითი გამშვები საშვისთვის, პირობებზე თანხმობა. ადგილმა უკვე იცის, ვინ დაჯავშნა ოთახი, ამიტომ შეუძლია ამ ფაქტების შედარება იმის გაგების გარეშე, რაც მას სხვაგან თქვენად მოქმედების საშუალებას მისცემდა.
ყველაფერი ამ სიის მიღმა იმსახურებს პაუზას. ჰოტსპოტის გვერდი ვერ გადაამოწმებს თქვენს დომენის პაროლს, და მას ასევე არ შეუძლია თქვენი VPN-ის ერთჯერადი კოდის, აღდგენის კოდის ან პირადი გასაღების გადამოწმება და მათი სურვილის მიზეზი არ აქვს. ერთადერთი ლეგიტიმური გამონაკლისი ორგანიზაციის მიერ მართული ქსელია: ოფისის სტუმრების SSID ან კონფერენციის Wi-Fi შეიძლება გაგიშვათ იმ იდენტობის მომწოდებელთან, რომელსაც უკვე სამუშაოდ იყენებთ. მაინც გასარჩევია: შესვლის ჰოსტი თქვენი ყოველდღიურია, თანხმობის ეკრანი თქვენს მოიჯარეს ასახელებს და ნაკადი ხილულ ბრაუზერის ჩანართში იხსნება.
მარკეტინგული ელფოსტა ცალკეა: სამოგზაურო ფსევდონიმი ავსებს ველს სამუშაო იდენტობის გადაცემის გარეშე.
შეამოწმეთ, რომ VPN-კლიენტი საკუთარ მონაცემებს ითხოვს
კლიენტი ითხოვს ზუსტად იმას, რაზეც მისი პროფილია კონფიგურირებული, ამიტომ მოსალოდნელი ფანჯარა პროფილის თვისებაა და არა იმ ქსელის, რომელზეც შემთხვევით ხართ. სერტიფიკატის პროფილები ჩვეულებრივ აჩვენებს პროფილის არჩევანს და შემდეგ ჩუმად უკავშირდება. მომხმარებლის სახელისა და პაროლის პროფილები ორივეს ითხოვს, ხშირად ერთჯერადი კოდით. SSO პროფილები თქვენს ბრაუზერს იდენტობის მომწოდებელთან ხსნის და ტოკენით ბრუნდება. WireGuard კვლავ სხვაა: ის მოწყობილობებს საჯარო გასაღებით ამოწმებს და მომხმარებლის შესვლა არ აქვს, ამიტომ WireGuard-ის მომხმარებლის სახელისა და პაროლის შემოთავაზებული ფანჯარა WireGuard-ს არ აღწერს.
წაიკითხეთ პროფილი მოგზაურობამდე. OpenVPN-ში auth-user-pass გეუბნებათ, რომ პაროლის მოთხოვნა მოსალოდნელია, ხოლო cert, key ან pkcs12 ნიშნავს, რომ სერტიფიკატმა უნდა შეასრულოს სამუშაო. თუ პროფილი, რომელიც ჩვეულებრივ მოთხოვნის გარეშე უკავშირდება, უცებ პაროლს ითხოვს, ეჭვი შეიტანეთ პროფილში, რომელმაც სერტიფიკატი ვერ ჩატვირთა ან სხვა მეთოდზე დაეცა. მოთხოვნა მოწვევა არ არის, რომ სამუშაო პაროლი ნებისმიერ გამოჩენილ ფანჯარაში აკრიფოთ.
არცერთი ლეგიტიმური VPN-კლიენტი ოთახის ნომერს, პორტალის ვაუჩერს ან Wi-Fi-ის საიდუმლო ფრაზას ავთენტიფიკაციის შეტანად არ ითხოვს. როცა ეს ხდება, ან კლიენტი არ არის ის, რასაც აცხადებს, ან ტყვე პორტალი გვირაბის ჩამოყალიბებამდე იჭერს ტრაფიკს და თქვენ შესვლის მსგავსად გაფორმებულ HTML გვერდს კითხულობთ.
გაჩერდით ამ ხუთ პირობაზე
ეს არის ის პუნქტები, სადაც ვჩერდები, ნაცვლად იმისა, რომ დამაჯერებელი ავლით გავაგრძელო. თითოეულის შემოწმება იაფია, შეცდომა კი ძვირი.
- პორტალზე ან SSO გვერდზე ჩნდება სერტიფიკატის ან TLS გაფრთხილება. ქსელში მისასვლელად ნუ გადახვალთ მასზე დაწკაპუნებით.
- გვერდი ითხოვს საიდუმლოს, რომლის გადამოწმებაც მხოლოდ VPN-კარიბჭეს ან იდენტობის მომწოდებელს შეუძლია: დომენის პაროლი, ერთჯერადი კოდი, აღდგენის კოდი, პირადი გასაღები.
- დომენი არ ემთხვევა ადგილის დაბეჭდილ მითითებებს ან შესვლის ჰოსტს, რომელსაც თქვენი ორგანიზაცია საკუთარი სერვისებისთვის დოკუმენტირებს.
- გთხოვენ დააყენოთ ძირეული სერტიფიკატი, კონფიგურაციის პროფილი ან დამხმარე აპლიკაცია, რომელიც თქვენი მოწყობილობების მართვიდან არ მოდის.
- მოდის MFA დადასტურება, რომელიც თქვენ არ დაგიწყიათ, ან VPN-კლიენტი სასტუმროს მონაცემებს ითხოვს.
ალტერნატივა სხვა პაროლი არ არის. გამოიყენეთ ტელეფონის ჰოტსპოტი, იკითხეთ რეცეფციაზე ქსელის ზუსტი სახელი და წვდომის მეთოდი და გვერდის შესახებ აცნობეთ ქსელის მმართველს ან თქვენს IT-სამსახურს. ამათგან არცერთი არ მოითხოვს მონაცემის გამოცდას გვერდზე, რომლის მიკუთვნებაც არ შეგიძლიათ.
მიაწერეთ ჩავარდნა სწორ ეტაპს
ორივე ეტაპის გავლის შემდეგ ჩავარდნები მაინც ხდება და შეცდომა ჩვეულებრივ ეტაპს ასახელებს, თუ რიგზე წაიკითხავთ: დაკავშირება, მისამართის მინიჭება, პორტალის ავტორიზაცია, გვირაბის დადგენა, შემდეგ შიდა რესურსი. VPN-ის პაროლის შეცვლა იმიტომ, რომ პორტალის კოდი ამოიწურა, დროს კარგავს და ნამდვილ პრობლემას ადგილზე ტოვებს.
რამდენიმე ცდა ჰყოფს ეტაპებს. პორტალში შესვლის შემდეგ მოითხოვეთ ჩვეულებრივი საჯარო HTTPS გვერდი. თუ სამაგიეროდ პორტალი დაბრუნდა, ავტორიზაცია ამ ფენაზე არასდროს დასრულებულა. თუ VPN-კლიენტი აცხადებს, რომ კარიბჭეს ვერ აღწევს, პრობლემა გვირაბის ქვეშაა: პორტალის სესია, სახელების გარჩევა ან ქსელი, რომელიც პორტს ბლოკავს. თუ გვირაბი ამოდის და ერთი შიდა ჰოსტის სახელი ვარდება, კერძო ქსელის შიგნით სახელების გარჩევა ან პოლიტიკა უფრო სწორი ეჭვია.
პორტალის სესიები გვირაბისგან დამოუკიდებლადაც იწურება. როცა ადგილი წვდომას აუქმებს, დამყარებული VPN კავშირი ვარდება, თუმცა მისი მონაცემები არასდროს ყოფილა მცდარი. ხელახლა ავტორიზეთ პორტალი, შემდეგ ხელახლა შეუერთეთ VPN და მიეცით ხელახლა მოლაპარაკების საშუალება. VPN-ის პაროლის ბრუნვა მაშინ არაფერს ასწორებს და შეიძლება გაგაძევოთ.
თითოეული საიდუმლო მიეცით მხოლოდ იმ სისტემას, რომელსაც მისი გადამოწმება შეუძლია, და ცხრილს რომ არ შეესაბამება, ის მოთხოვნა შეჩერების ნიშნად ჩათვალეთ და არა გვერდის ავლის ნაბიჯად. თუ ორივე ეტაპი გაივლის და გვირაბი მაინც უარს ამბობს, ჩაიწერეთ კლიენტის ზუსტი შეცდომა სანამ რომელიმე მონაცემს შეცვლით.