Wi-Fi-Portal- a VPN-Umeldungen auserneen halen
Zwee verschidde Systemer froen eng Umeldung: d’Wi-Fi vum Ort an deng VPN-Gateway. Si gesinn op dem Ecran d’selwecht aus a maachen awer ganz verschidde Saachen. Frot bei all Fënster: wien kann dëst Geheimnis wierklech iwwerpréiwen?
Zwee verschidde Systemer froen deng Umeldung, ier s du op engem ëffentleche Netz eppes Nëtzleches erreechst: d’Wi-Fi vum Ort an deng VPN-Gateway. Si gesinn op dem Ecran d’selwecht aus a maachen awer ganz verschidde Saachen. De Portal entscheet, ob dësen Apparat d'lokalt Netz benotze kann; de VPN entscheet, ob s du anzwousch anescht e private Netz erreeche kanns. Ech halen se auserneen, andeem ech bei all Fënster eng Fro stellen: wien kann dëst Geheimnis wierklech iwwerpréiwen? Dat hei ass d’Checklëscht, déi ech an Hotellen, op Fluchhäfen a bei Konferenzzentren duergehe, och d’Punkten, wou ech ophalen ze tippen.
Ordn all Umeldung dem Service zou, deen se kontrolléiert
Eng eenzeg Hotelverbindung kann véier getrennte Kontrollen enthalen, a just e puer wëllen deng Eingab hunn. Setz se fir d’éischt an d’Reiefolleg, well den Ecran seelt seet, a wéi engem Schrëtt se gehéiert.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X-Netzwierker, heefeg an Büroen an Universitéiten, verwëschen déi éischt zwou Zeilen. Do ass d’Wi-Fi-Umeldung selwer eng Identitéitskontroll vis-à-vis vun engem RADIUS-Server, an de Client kann eng Routing-Identitéit presentéieren, wärend de richtege Kont bannen an der verschlësselter Auswiesselung reest. Och dann geet d’Kontroll ëm d’Bäitrëtt an d’Netz; se autoriséiert den Tunnel net, an d’VPN-Gateway akzeptéiert se net als Beweis fir eppes.
D’Uerdnung ass méi wichteg wéi d’Etiketten. Captive Portalen gëtt et, well den Accès no der Associatioun ka gewuert ginn, dowéinst kann en Ort d’Säit engem spezialiséierte Provider iwwerginn. RFC 8952 vun der IETF behandelt de Portal als seng eege Komponent, also ass en onbekannten Domain e Grond fir ze iwwerpréiwen, net u sech e Beweis fir Bedruch. Vergläich den Domain mat de schrëftlechen Instruktioune vum Ort, an d’Felder mat der Tabell.
Kuckt no, wat e Portal froe kann
Portal-Felder betreffen den Usproch, net d’Identitéit: Zëmmernummer, Numm vun der Reservatioun, Voucher-Code, de Code deen op der Schlësselhal gedréckt ass, eng E-Mail fir e befristete Pass, Akzeptanz vun de Konditiounen. Den Ort weess schonn, wien d’Zëmmer reservéiert huet, dowéinst kann en déi Fakten ofgläichen, ouni eppes ze léieren, wat him erlaabt, anzwousch anescht als du ze handelen.
Alles iwwer déi Lëscht eraus verdéngt eng Paus. Eng Hotspot-Säit kann däi Domain-Passwuert net iwwerpréiwen, an et kann och däin eemolegen Code fir de VPN, e Recuperatiounscode oder e private Schlëssel net iwwerpréiwen, an et huet kee Grond, se ze wëllen. Déi eenzeg legitim Ausnam ass en Netz, deen eng Organisatioun bedreift: eng Gaascht-SSID am Büro oder eng Konferenz-Wi-Fi kann dech un den Identitéitsprovider verweisen, deen s du schonn fir d’Aarbecht benotz. Et ass nach ëmmer z’ënnerscheeden: den Umeldungs-Host ass däin alldeeglechen, den Zoustëmmungsecreen nennt däin Tenant, an de Flux geet an engem sichtbaren Browser-Tab op.
Marketing-E-Mail ass getrennt: en Travel-Alias erfëllt d’Feld, ouni däin Aarbechtsidentitéit ze liwweren.
Kuckt no, ob de VPN-Client seng eegen Umeldungsdaten wëll
De Client freet genee dat, wofir säi Profil konfiguréiert ass, also ass déi erwaart Fënster eng Eegenschaft vum Profil an net vum Netz, op deem s du just bass. Zertifikatsprofiler weisen normalerweis eng Profilauswiel an verbannen dann roueg. Benotzernumm-a-Passwuert-Profiler froe béides, dacks mat engem eemolege Code. SSO-Profiler maachen däi Browser beim Identitéitsprovider op a kommen mat engem Token zréck. WireGuard ass erëm anescht: et authentifizéiert Apparater mat engem ëffentleche Schlëssel an huet keen Benotzerlogin, also beschreift eng Fënster, déi WireGuard-Benotzernumm a -Passwuert ubitt, de WireGuard net.
Lies de Profil, ier s du reest. An OpenVPN seet auth-user-pass dir, datt eng Passwuert-Ufro erwaart gëtt, während cert, key oder pkcs12 bedeit, datt en Zertifikat d’Aarbecht soll maachen. Wann e Profil, deen normalerweis ouni Ufro verbënnt, op eemol e Passwuert freet, verdächtegt e Profil, deen säin Zertifikat net konnt lueden oder op eng aner Method zeréckgefall ass. Eng Ufro ass keng Invitatioun, däin Aarbechtspasswuert an egal wéi eng Fënster ze tippen, déi opgedaucht ass.
Kee legitime VPN-Client freet d’Zëmmernummer, de Portal-Voucher oder d’Wi-Fi-Passphrase als Authentifikatiounsinput. Wann dat geschitt, ass de Client entweder net dat, wat en seet, oder e Captive Portal fänkt den Traffic of, ier den Tunnel entsteet, an s du lies e HTML-Säit, déi wéi eng Umeldung gestalt ass.
Halt bei dëse fënnef Bedingunge
Dëst sinn d’Punkten, wou ech ophalen, amplaz mat engem plausible Ëmwee weiderzemaachen. Jiddereen ass bëlleg ze kontrolléieren an deier falsch ze maachen.
- Eng Zertifikats- oder TLS-Warnung erschéngt um Portal oder op der SSO-Säit. Klick net duerch, fir d'Netz z'erreechen.
- D'Säit freet e Geheimnis, dat just d'VPN-Gateway oder den Identitéitsprovider iwwerpréiwe kann: Domain-Passwuert, eemolege Code, Recuperatiounscode, private Schlëssel.
- Den Domain passt net zu de gedréckten Instruktioune vum Ort oder zum Umeldungs-Host, deen deng Organisatioun fir hir eege Servicer dokumentéiert.
- Et gëtt gefrot, en Root-Zertifikat, e Konfiguratiounsprofil oder eng Hëllefsapplikatioun z'installéieren, déi net aus denger Apparateverwaltung kënnt.
- Eng MFA-Bestätegung kënnt, déi s du net gestart hues, oder de VPN-Client freet Hotel-Umeldungsdaten.
D’Alternativ ass keen anert Passwuert. Benotz en Handy-Hotspot, frot d’Receptioun no dem genaue Netznumm an der Accèsmethod, a mell d’Säit deem, deen d’Netz bedreift, oder denger IT-Desk. Nee vun deem verlaangt, en Umeldungsdatum géint eng Säit ze testen, déi s du net zouordne kanns.
Schreif e Feeler dem richtege Schrëtt zou
Nodeems béid Schrëtt bestanen hunn, geschéien nach ëmmer Feeler, an de Feeler nennt meeschtens de Schrëtt, wann s en an der Rei lies: Associatioun, Adressvergab, Portalautorisatioun, Tunnelopbau, dann déi intern Ressource. E VPN-Passwuert z’änneren, well en Portalcode ofgelaf ass, kascht Zäit a léisst de richtege Problem stoen.
E puer Tester trennen d’Schrëtt. No der Portal-Umeldung, fuerder eng gewéinlech ëffentlech HTTPS-Säit un. Wann amplaz de Portal zréckkënnt, gouf d’Autorisatioun ni op där Schicht fäerdeg. Wann de VPN-Client mellt, datt en d’Gateway net erreecht, sëtzt de Problem ënner dem Tunnel: d’Portal-Sessioun, d’Nimm-Opléisung oder en Netz, dat de Port blockéiert. Wann den Tunnel eropkënnt an en internen Hostnumm feelt, sinn Nimm-Opléisung oder Politik bannen am private Netz de besseren Verdacht.
Portal-Sessioune lafen och onofhängeg vum Tunnel of. Wa méi den Accès zréckzitt, fällt eng etabléiert VPN-Verbindung, obwuel hir Umeldungsdaten ni falsch waren. Autoriséier de Portal nach eng Kéier, verbann dann de VPN nach eng Kéier a loos en nei verhandelen. De VPN-Passwuert dann ze rotéieren reparéiert näischt a kann dech ausspären.
Gëff all Geheimnis just dem System, dat et iwwerpréiwe kann, a behandel eng Ufro, déi net an d’Tabell passt, als Stoppschëld an net als Schrëtt, deen een ëmgeet. Wann béid Schrëtt duerchginn an den Tunnel nach ëmmer refuséiert, fänk de geneeë Clientfeeler of, ier s du en Umeldungsdatum änderst.