Captive portāls un VPN strupceļā: kas kustas pirmais
Viesnīcas portāls prasa datu plūsmu, pirms tuneļa vēl nav; VPN bloķē, līdz tunelis ir pacelts. Salīdziniet abas secības un to, ko katra atklāj spraugā.
Viesnīcas portāls grib redzēt pārlūku, pirms laist cauri jebkādu datu plūsmu. Jūsu VPN atsakās laist plūsmu cauri, līdz tā tunelis ir pacelts. Abas puses gaida viena otru, un abas uzvedas tieši tā, kā konfigurētas. Šo strupceļu pārrauj tikai divas secības, un tās atšķiras ar to, ko atklāj, kamēr sprauga ir atvērta. Izvēlieties vienu apzināti, nevis pārslēdziet jebkuru iestatījumu, pēc kura ielādējas pārlūks.
Divas secības, un viena no tām strādā
Vai nu tīkls vispirms uzņem jūs, un tunelis nāk otrais, vai arī jūs atverat šauru izņēmumu portālam un pēc tam atjaunojat bloķēšanu. Abas ir likumīgas. Nav likumīgi izslēgt bloķēšanu un aizmirst to atgriezt.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
Abas secības nav vienlīdz labas katrā situācijā. Pārvaldītai ierīcei ar obligātu uzņemšanas procesu ir viena atbilde, bet personīgajam portatīvajam datoram viesnīcas Wi-Fi tīklā cita. Salīdzinājums ir par to, no kā katra iespēja atsakās.
Sāciet ar zināšanu, kuru no tām jūsu klients un ierīces politika patiešām atbalsta.
A iespēja: uzņemiet tīklu, pēc tam pievienojiet tuneli
Apstipriniet gaidīto tīkla nosaukumu, pēc tam izmantojiet operētājsistēmas pieteikšanās pieprasījumu vai klienta atbalstīto captive portāla plūsmu. iPhone un iPad ierīcēs pieteikšanās lapas aizvēršana var vai nu pārtraukt saistījumu, vai saglabāt to ar brīdinājumu, ka tīklā nav interneta, un tie ir dažādi sākumpunkti. Vispirms pabeidziet uzņemšanas soli, pēc tam paceliet tuneli. Šī secība saglabā bloķēšanu neskartu visu laiku, kamēr tunelis ir lejā.
Āķis ir tajā, ka portāls, kas atļauj piekļuvi internetam, nav autentificējis jūsu VPN kontu. Tunelim tomēr pēc tam ir jāsavienojas, un tas var neizdoties savu iemeslu dēļ. Uzņemšana un autentifikācija ir atsevišķi notikumi, ko cilvēki sapludina vienā.
Ja uzņemšana turpina beigties, pierakstiet, vai portāls jautā atkal, vai tīkls atkrīt, vai neizdodas tikai VPN.
B iespēja: šaurs pieteikšanās izņēmums, pēc tam bloķēšanas atjaunošana
Alternatīva ir atļaut portāla plūsmu, kamēr bloķēšana citādi ir spēkā, pieteikties un pēc tam noņemt izņēmumu. Izņēmumam jābūt šauram: viens galamērķis vai viens adrešu diapazons, uz pieteikšanās laiku, ar bloķēšanu atjaunotu tūlīt pēc tam. Plats pagaidu logs ir tas, kā divu minūšu pieteikšanās kļūst par veselu pēcpusdienu neaizsargātas plūsmas.
Ziniet, ko jūsu klients patiešām ievieš. OpenVPN Connect operētājsistēmā macOS dokumentē captive portāla noteikšanu atsevišķi no savas opcijas, kas bloķē piekļuvi internetam, kamēr VPN ir apturēts vai atkārtoti piesakās. Atklāt portālu un atļaut tā plūsmu ir saistīti uzdevumi, nevis savstarpēji aizstājami solījumi.
Pārvaldītā ierīcē ievērojiet konfigurēto uzņemšanas procesu, nevis izdomājiet izņēmumu.
Ko sprauga atklāj un kam
Strupceļa interesantā daļa nav pārlūka cilne jums priekšā. Tā ir viss pārējais, kas sāk izmantot tīklu tajā mirklī, kad parādās savienojamība: pasts, fotoattēlu sinhronizācija, atjauninājumu pārbaudes, atkārtoti piesakās tērzēšanas klients, atsāk darbu dublēšanas aģents.
Kluss pārlūka logs par to neko nepasaka. Aizveriet vai apturiet sensitīvu darbu pirms katra atļautā tiešās piekļuves intervāla un pārbaudiet, kas palaižas pieteikšanās laikā. Android ierīcē pastāvīgi ieslēgts VPN kopā ar savienojumu bloķēšanu ārpus VPN ir attiecīgā kontrole, un patvaļīgs maršruta izņēmums neaizstāj tās izpratni.
Šī ir vienīgā vieta, kur vecais padoms par pagaidu piekļuves logiem joprojām ir spēkā. Bažas bija pareizas arī tur, kur mehānisms nebija.
Kā izvēlēties un kā to apstiprināt
Izvēlieties A iespēju, kad ierīce vai klients atbalsta īstu portāla plūsmu, jo tā visu laiku saglabā bloķēšanu neskartu. Izvēlieties B iespēju, kad portālam citādi nevar piekļūt, un izņēmumu uzskatiet par laikā ierobežotu izmaiņu ar atbildīgo personu.
Pēc tam apstipriniet secību, nevis iznākumu:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Pabeidziet uzņemšanu, izveidojiet paredzēto profilu, atjaunojiet jebkuru īslaicīgi mainīto bloķēšanas kontroli, pēc tam izdariet jaunu nekaitīgu pieprasījumu un apstipriniet, ka tas iet caur tuneli. Pieprasījums, kas izdodas tāpēc, ka bloķēšana joprojām ir izslēgta, neko nepierāda par tuneli.
VPN izejas maiņa neatjaunos beigušos viesnīcas sesiju. Tie ir dažādi notikumi, un to sajaukšana aizsūta jūs meklēt nepareizajā vietā.