Captive portalas ir VPN aklavietėje: kas pajuda pirmas
Viešbučio portalas reikalauja srauto, kol tunelio dar nėra; VPN blokuoja, kol tunelis nepakeltas. Palyginkite dvi tvarkas ir tai, ką kiekviena atskleidžia tarpe.
Viešbučio portalas nori pamatyti naršyklę, prieš praleisdamas bet kokį srautą. Jūsų VPN atsisako praleisti srautą, kol jo tunelis nepakeltas. Abi pusės laukia viena kitos, ir abi elgiasi tiksliai taip, kaip sukonfigūruotos. Šią aklavietę nutraukia tik dvi tvarkos, ir jos skiriasi tuo, ką atskleidžia, kol tarpas atviras. Pasirinkite vieną sąmoningai, o ne perjunginėkite bet kurį nustatymą, po kurio įsikrauna naršyklė.
Dvi tvarkos, viena jų veikia
Arba tinklas pirmiausia įleidžia jus, o tunelis ateina antras, arba atidarote siaurą išimtį portalui ir vėliau atkuriote blokavimą. Abi yra teisėtos. Neteisėta yra išjungti blokavimą ir pamiršti jį grąžinti.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
Abi tvarkos nėra vienodai geros kiekvienoje situacijoje. Valdomas įrenginys su privaloma priėmimo procedūra turi vieną atsakymą, o asmeninis nešiojamas kompiuteris viešbučio Wi-Fi tinkle kitą. Palyginimas yra apie tai, ko atsisako kiekviena parinktis.
Pradėkite nuo žinojimo, kurią iš jų iš tikrųjų palaiko jūsų klientas ir įrenginio politika.
Parinktis A: priimkite tinklą, tada prijunkite tunelį
Patvirtinkite numatomą tinklo pavadinimą, tada naudokite operacinės sistemos prisijungimo raginimą arba kliento palaikomą captive portalo eigą. iPhone ir iPad įrenginiuose prisijungimo lapo uždarymas gali arba nutraukti susiejimą, arba jį išlaikyti su įspėjimu, kad tinkle nėra interneto, ir tai yra skirtingi starto taškai. Pirmiausia užbaikite priėmimo žingsnį, tada pakelkite tunelį. Ši tvarka išlaiko blokavimą nepaliestą visą laiką, kol tunelis nepakeltas.
Kabliukas tas, kad portalas, kuris leidžia prieigą prie interneto, neautentifikavo jūsų VPN paskyros. Tunelis vis tiek turi prisijungti po to, ir jis gali nepavykti dėl savo priežasčių. Priėmimas ir autentifikavimas yra atskiri įvykiai, kuriuos žmonės sulieja į vieną.
Jei priėmimas vis baigiasi, atkreipkite dėmesį, ar portalas prašo iš naujo, ar tinklas nutrūksta, ar nepavyksta tik VPN.
Parinktis B: siaura prisijungimo išimtis, tada blokavimo atkūrimas
Alternatyva yra leisti portalo srautą, kol blokavimas kitu atveju galioja, prisijungti ir tada pašalinti išimtį. Išimtis turi būti siaura: vienas tikslas arba vienas adresų diapazonas, prisijungimo trukmei, su blokavimu atkurtu iškart po to. Platus laikinas langas yra būdas, kuriuo dviejų minučių prisijungimas tampa visu popietės neapsaugoto srauto laiku.
Žinokite, ką jūsų klientas iš tikrųjų įgyvendina. OpenVPN Connect sistemoje macOS dokumentuoja captive portalo aptikimą atskirai nuo savo parinkties, kuri blokuoja prieigą prie interneto, kol VPN pristabdytas arba prisijungia iš naujo. Aptikti portalą ir leisti jo srautą yra susijusios užduotys, o ne keičiami pažadai.
Valdomame įrenginyje laikykitės sukonfigūruotos priėmimo procedūros, o ne išgalvokite išimtį.
Ką tarpas atskleidžia ir kam
Įdomiausia šioje aklavietėje yra ne naršyklės skirtukas priešais jus. O visa kita, kas pradeda naudoti tinklą tą akimirką, kai atsiranda ryšys: paštas, nuotraukų sinchronizavimas, atnaujinimų tikrinimas, iš naujo prisijungiantis pokalbių klientas, atnaujinantis darbą atsarginių kopijų agentas.
Tylus naršyklės langas apie tai nieko nesako. Uždarykite arba pristabdykite jautrų darbą prieš bet kurį leidžiamą tiesioginės prieigos intervalą ir patikrinkite, kas paleidžiama prisijungus. Android sistemoje nuolat įjungtas VPN kartu su blokavimu ryšių už VPN ribų yra atitinkama kontrolė, o savavališka maršruto išimtis nepakeičia jos supratimo.
Tai vienintelė vieta, kur senas patarimas apie laikinus prieigos langus vis dar galioja. Susirūpinimas buvo teisingas net ten, kur mechanizmas nebuvo.
Kaip pasirinkti ir kaip tai patvirtinti
Rinkitės parinktį A, kai įrenginys arba klientas palaiko tikrą portalo eigą, nes ji išlaiko blokavimą visą laiką. Rinkitės parinktį B, kai prie portalo negalima prieiti kitaip, ir traktuokite išimtį kaip laiko apibrėžtą pakeitimą su atsakingu asmeniu.
Tada patvirtinkite seką, o ne rezultatą:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Užbaikite priėmimą, nustatykite numatytą profilį, atkurkite bet kurią laikinai pakeistą blokavimo kontrolę, tada atlikite naują nekenksmingą užklausą ir patvirtinkite, kad ji eina per tunelį. Užklausa, kuri pavyksta todėl, kad blokavimas vis dar išjungtas, nieko neįrodo apie tunelį.
VPN išėjimo pakeitimas neatnaujins pasibaigusios viešbučio sesijos. Tai skirtingi įvykiai, ir jų sumaišymas nusiunčia jūsų ieškoti ne ten.