Wi-Fi порталының кірулерін VPN кірулерінен бөлек ұстаңыз
Екі түрлі жүйе кіруді сұрайды: орынның Wi-Fi желісі және сіздің VPN шлюзіңіз. Экранда олар ұқсас көрінеді, бірақ мүлдем басқа нәрселерге рұқсат береді. Әр терезеде сұраңыз: бұл құпияны шынымен кім тексере алады?
Қоғамдық желіде пайдалы нәрсеге жетпей тұрып, екі түрлі жүйе сізден кіруді сұрайды: орынның Wi-Fi желісі және сіздің VPN шлюзіңіз. Экранда олар ұқсас көрінеді және мүлдем басқа нәрселерге рұқсат береді. Портал бұл құрылғының жергілікті желіні пайдалануға рұқсаты бар-жоғын шешеді; VPN басқа жердегі жеке желіге жете алатыныңызды шешеді. Мен оларды әр терезеде бір сұрақ қою арқылы ажыратамын: бұл құпияны шынымен кім тексере алады? Төмендегілер қонақүйлерде, әуежайларда және конференция орындарында қолданатын тексеру тізімім, терімді тоқтататын тұстарды қоса.
Әр кіруді оны тексеретін қызметпен байланыстырыңыз
Бір қонақүй байланысы төрт бөлек тексеруді қамтуы мүмкін, ал олардың тек кейбіреуі сізден енгізуді сұрайды. Алдымен оларды ретке келтіріңіз, өйткені экран қай кезеңге жататынын сирек айтады.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Кеңселер мен университеттерде кең таралған 802.1X желілері алғашқы екі жолды бұлыңғыр етеді. Онда Wi-Fi кіруінің өзі RADIUS серверіне қарсы жеке басты тексеру, ал клиент маршруттау идентитетін ұсына алады, шынайы тіркелгі шифрланған алмасу ішінде жүреді. Сонда да тексеру желіге қосылуға қатысты; ол туннельге рұқсат бермейді және VPN шлюзі оны ешнәрсенің дәлелі ретінде қабылдамайды.
Реттілік белгілерден маңыздырақ. Тұтқын порталдар қосылудан кейін рұқсат беруге болатындықтан бар, сондықтан орын бетті мамандандырылған провайдерге тапсыра алады. IETF-тің RFC 8952 порталды жеке компонент ретінде қарастырады, сондықтан бейтаныс домен тексеруге себеп, өздігінен алаяқтықтың дәлелі емес. Доменді орынның жазбаша нұсқауларымен, өрістерді кестемен салыстырыңыз.
Порталдың не сұрауға құқығы бар екенін тексеріңіз
Портал өрістері құқыққа қатысты, жеке басқа емес: бөлме нөмірі, брондау тегі, ваучер коды, кілт қапшығына басылған код, уақытша рұқсат үшін электрондық пошта, шарттарды қабылдау. Орын бөлмені кім брондағанын бұрыннан біледі, сондықтан бұл деректерді басқа жерде сіз ретінде әрекет етуге мүмкіндік беретін ештеңе білмей-ақ салыстыра алады.
Осы тізімнен тыс кез келген нәрсе үзіліске лайық. Хотспот беті домен құпиясөзіңізді тексере алмайды, ол сондай-ақ VPN-нің бір реттік кодын, қалпына келтіру кодын немесе жеке кілтті тексере алмайды және оларды қалауға себебі жоқ. Жалғыз заңды ерекшелік — ұйым басқаратын желі: кеңсе қонақ SSID-і немесе конференция Wi-Fi-ы сізді жұмыс үшін бұрыннан қолданатын идентитет провайдеріне жіберуі мүмкін. Оны әлі де ажыратуға болады: кіру хосты күнделікті хостыңыз, келісім экраны сіздің жалдаушыңызды атайды, ал ағым көрінетін браузер қойындысында ашылады.
Маркетингтік электрондық пошта бөлек: саяхат бүркеншігі жұмыс идентитетіңізді бермей-ақ өрісті қанағаттандырады.
VPN клиенті өз тіркелгі деректерін сұрайтынын тексеріңіз
Клиент профилі конфигурацияланған нәрсені ғана сұрайды, сондықтан күтілетін терезе профильдің қасиеті, кездейсоқ болған желінің емес. Сертификат профильдері әдетте профиль таңдауын көрсетіп, содан кейін үнсіз қосылады. Пайдаланушы аты мен құпиясөз профильдері екеуін де сұрайды, көбіне бір реттік кодпен. SSO профильдері браузеріңізді идентитет провайдеріне ашады және токенмен оралады. WireGuard тағы басқаша: құрылғыларды ашық кілтпен аутентификациялайды және пайдаланушы кіруі жоқ, сондықтан WireGuard пайдаланушы аты мен құпиясөзін ұсынатын терезе WireGuard-ты сипаттамайды.
Сахараға шықпас бұрын профильді оқыңыз. OpenVPN ішінде auth-user-pass құпиясөз сұрауы күтілетінін айтады, ал cert, key немесе pkcs12 жұмысты сертификат атқаруы керек дегенді білдіреді. Әдетте сұраусыз қосылатын профиль кенет құпиясөз сұраса, сертификатын жүктей алмаған немесе басқа әдіске көшкен профильден күдіктеніңіз. Сұрау пайда болған кез келген терезеге жұмыс құпиясөзіңізді теруге шақыру емес.
Ешбір заңды VPN клиенті бөлме нөмірін, портал ваучерін немесе Wi-Fi құпиясөз тіркесін аутентификация кірісі ретінде сұрамайды. Бұл болған кезде не клиент өзін кім деп таныстырса, ол емес, не тұтқын портал туннель қалыптаспас бұрын трафикті ұстап, сіз кіруге ұқсатылып жасалған HTML бетін оқып отырсыз.
Осы бес шартта тоқтаңыз
Бұл — ықтимал айналып өту жолымен жалғастырудың орнына тоқтайтын тұстарым. Әрқайсысын тексеру арзан, қателесу қымбат.
- Порталда немесе SSO бетінде сертификат немесе TLS ескертуі шығады. Желіге жету үшін оны басып өтпеңіз.
- Бет тек VPN шлюзі немесе идентитет провайдері тексере алатын құпияны сұрайды: домен құпиясөзі, бір реттік код, қалпына келтіру коды, жеке кілт.
- Домен орынның басылған нұсқауларына немесе ұйымыңыз өз қызметтері үшін құжаттайтын кіру хостына сәйкес келмейді.
- Сізден құрылғыларды басқарудан келмейтін түбірлік сертификат, конфигурация профилі немесе көмекші қолданба орнатуды сұрайды.
- Сіз бастамаған MFA растауы келеді немесе VPN клиенті қонақүй деректерін сұрайды.
Балама — басқа құпиясөз емес. Телефон хотспотын қолданыңыз, қабылдау бөлімінен желінің нақты атауы мен кіру әдісін сұраңыз және бет туралы желіні басқаратын адамға немесе IT қызметіңізге хабарлаңыз. Олардың ешқайсысы жатқыза алмайтын бетке қарсы тіркелгі деректерін сынауды талап етпейді.
Сәтсіздікті дұрыс кезеңге жатқызыңыз
Екі кезең де өткеннен кейін де сәтсіздіктер болады, ал қате ретімен оқысаңыз әдетте кезеңді атайды: қосылу, мекенжай беру, портал авторизациясы, туннель орнату, содан кейін ішкі ресурс. Портал коды біткендіктен VPN құпиясөзін өзгерту уақытты жоғалтады және нақты мәселені орнында қалдырады.
Бірнеше сынақ кезеңдерді ажыратады. Портал кіруінен кейін қарапайым қоғамдық HTTPS бетін сұраңыз. Оның орнына портал қайтса, авторизация сол қабатта ешқашан аяқталмаған. VPN клиенті шлюзге жете алмайтынын хабарласа, мәселе туннель астында: портал сессиясы, атауларды шешу немесе портты блоктайтын желі. Туннель көтеріліп, бір ішкі хост атауы сәтсіз болса, жеке желі ішіндегі атауларды шешу немесе саясат дұрысырақ күдік.
Портал сессиялары да туннельге тәуелсіз бітеді. Орын рұқсатты кері қайтарғанда, тіркелгі деректері ешқашан қате болмаса да, орнатылған VPN байланысы үзіледі. Порталды қайта авторизациялаңыз, содан кейін VPN-ді қайта қосып, оған қайта келіссөз жүргізуге мүмкіндік беріңіз. Сонда VPN құпиясөзін айналдыру ештеңені түзетпейді және сізді сыртта құлыптауы мүмкін.
Әр құпияны оны тексере алатын жүйеге ғана беріңіз және кестеге сай келмейтін сұрауды айналып өтетін қадам емес, тоқтау белгісі деп қарастырыңыз. Екі кезең де өтіп, туннель әлі де бас тартса, кез келген тіркелгі деректерін өзгертуден бұрын клиенттің нақты қатесін жазып алыңыз.