Atšķiriet Wi-Fi portāla un VPN pieteikšanās
Divas dažādas sistēmas prasa pieteikšanos: vietas Wi-Fi un jūsu VPN vārteja. Ekrānā tās izskatās vienādi, bet atļauj pilnīgi atšķirīgas lietas. Katrā logā jautājiet: kurš patiešām var pārbaudīt šo noslēpumu?
Divas dažādas sistēmas prasa, lai jūs pieteiktos, pirms publiskajā tīklā sasniedzat kaut ko noderīgu: vietas Wi-Fi un jūsu VPN vārteja. Ekrānā tās izskatās vienādi un atļauj pilnīgi atšķirīgas lietas. Portāls izlemj, vai šī ierīce drīkst izmantot vietējo tīklu; VPN izlemj, vai jūs drīkstat sasniegt privātu tīklu citur. Es tās šķiru, katrā logā uzdodot vienu jautājumu: kurš patiešām var pārbaudīt šo noslēpumu? Tālāk ir kontrolsaraksts, ko izmantoju viesnīcās, lidostās un konferenču vietās, tostarp vietās, kur pārstāju rakstīt.
Saistiet katru pieteikšanos ar pakalpojumu, kas to pārbauda
Viens viesnīcas savienojums var ietvert četras atsevišķas pārbaudes, un tikai dažas prasa jūsu ievadi. Vispirms sakārtojiet tās secībā, jo ekrāns reti pasaka, kurai stadijai tā pieder.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X tīkli, kas izplatīti birojos un universitātēs, izplūdina pirmās divas rindas. Tur Wi-Fi pieteikšanās pati ir identitātes pārbaude pret RADIUS serveri, un klients var uzrādīt maršrutēšanas identitāti, kamēr īstais konts ceļo šifrētajā apmaiņā. Pat tad pārbaude attiecas uz pievienošanos tīklam; tā neautorizē tuneli, un VPN vārteja to neuzskata par pierādījumu nekam.
Secība ir svarīgāka par etiķetēm. Captive portāli pastāv tāpēc, ka piekļuvi var piešķirt pēc pievienošanās, tāpēc vieta var nodot lapu specializētam pakalpojumu sniedzējam. IETF RFC 8952 uzskata portālu par atsevišķu komponenti, tāpēc nezināms domēns ir iemesls pārbaudei, nevis pats par sevi krāpšanas pierādījums. Salīdziniet domēnu ar vietas rakstiskajām instrukcijām un laukus ar tabulu.
Pārbaudiet, ko portāls drīkst prasīt
Portāla lauki attiecas uz tiesībām, nevis identitāti: istabas numurs, rezervācijas uzvārds, kupona kods, kods, kas uzdrukāts uz atslēgas apvalka, e-pasts uz laiku ierobežotai caurlaidei, noteikumu pieņemšana. Vieta jau zina, kas rezervēja istabu, tāpēc tā var saskaņot šos faktus, neuzzinot neko, kas ļautu tai citur rīkoties kā jums.
Viss, kas pārsniedz šo sarakstu, ir pelnījis pauzi. Hotspot lapa nevar pārbaudīt jūsu domēna paroli, un tā arī nevar pārbaudīt jūsu vienreizējo VPN kodu, atkopšanas kodu vai privāto atslēgu, un tai nav iemesla tos gribēt. Vienīgais likumīgais izņēmums ir organizācijas pārvaldīts tīkls: biroja viesu SSID vai konferences Wi-Fi var nosūtīt jūs pie identitātes pakalpojumu sniedzēja, ko jau izmantojat darbam. To joprojām var atšķirt: pieteikšanās resursdators ir jūsu ikdienas, piekrišanas ekrāns nosauc jūsu nomnieku, un plūsma atveras redzamā pārlūkprogrammas cilnē.
Mārketinga e-pasts ir atsevišķi: ceļojuma aizstājvārds apmierina lauku, nenododot jūsu darba identitāti.
Pārbaudiet, vai VPN klients vēlas savus akreditācijas datus
Klients prasa tieši to, kam konfigurēts tā profils, tāpēc gaidāmais logs ir profila īpašība, nevis tīkla, kurā jūs nejauši atrodaties. Sertifikāta profili parasti parāda profila izvēli un pēc tam klusi pieslēdzas. Lietotājvārda un paroles profili prasa abus, bieži ar vienreizēju kodu. SSO profili atver pārlūkprogrammu identitātes pakalpojumu sniedzējā un atgriežas ar žetonu. WireGuard atkal ir citāds: tas autentificē ierīces ar publisko atslēgu un tam nav lietotāja pieteikšanās, tāpēc logs, kas piedāvā WireGuard lietotājvārdu un paroli, neapraksta WireGuard.
Izlasiet profilu pirms ceļojuma. OpenVPN auth-user-pass norāda, ka tiek gaidīts paroles pieprasījums, bet cert, key vai pkcs12 nozīmē, ka darbu darīs sertifikāts. Ja profils, kas parasti pieslēdzas bez pieprasījuma, pēkšņi prasa paroli, aizdomājieties par profilu, kas nespēja ielādēt sertifikātu vai pārgāja uz citu metodi. Pieprasījums nav uzaicinājums rakstīt darba paroli jebkurā parādījušā logā.
Neviens likumīgs VPN klients neprasa istabas numuru, portāla kuponu vai Wi-Fi paroles frāzi kā autentifikācijas ievadi. Kad tas notiek, vai nu klients nav tas, par ko sevi dēvē, vai arī captive portāls pārtver datplūsmu pirms tuneļa izveidošanās, un jūs lasāt HTML lapu, kas izveidota kā pieteikšanās.
Apstājieties pie šiem pieciem nosacījumiem
Šie ir punkti, kuros es apstājos, nevis turpinu ar ticamu apvedceļu. Katru ir lēti pārbaudīt un dārgi kļūdīties.
- Portālā vai SSO lapā parādās sertifikāta vai TLS brīdinājums. Nepārejiet tam pāri ar klikšķi, lai sasniegtu tīklu.
- Lapa prasa noslēpumu, ko var pārbaudīt tikai VPN vārteja vai identitātes pakalpojumu sniedzējs: domēna parole, vienreizējs kods, atkopšanas kods, privātā atslēga.
- Domēns neatbilst vietas drukātajām instrukcijām vai pieteikšanās resursdatoram, ko jūsu organizācija dokumentē saviem pakalpojumiem.
- Jums tiek lūgts instalēt saknes sertifikātu, konfigurācijas profilu vai palīgprogrammu, kas nenāk no jūsu ierīču pārvaldības.
- Pienāk MFA apstiprinājums, ko neesat sācis, vai VPN klients prasa viesnīcas datus.
Alternatīva nav cita parole. Izmantojiet tālruņa hotspotu, pajautājiet recepcijā precīzu tīkla nosaukumu un piekļuves metodi, un ziņojiet par lapu tīkla uzturētājam vai savam IT dienestam. Neviens no tiem neprasa pārbaudīt akreditācijas datus lapā, kurai nevarat tos piedēvēt.
Piedēvējiet kļūmi pareizajai stadijai
Kad abas stadijas ir izturētas, kļūmes joprojām notiek, un kļūda parasti nosauc stadiju, ja lasāt pēc kārtas: pievienošanās, adreses piešķiršana, portāla autorizācija, tuneļa izveide, tad iekšējais resurss. VPN paroles maiņa tāpēc, ka beidzies portāla kods, tērē laiku un atstāj īsto problēmu vietā.
Dažas pārbaudes atdala stadijas. Pēc pieteikšanās portālā pieprasiet parastu publisku HTTPS lapu. Ja tā vietā atgriežas portāls, autorizācija šajā slānī nekad netika pabeigta. Ja VPN klients ziņo, ka nevar sasniegt vārteju, problēma ir zem tuneļa: portāla sesija, nosaukumu izšķiršana vai tīkls, kas bloķē portu. Ja tunelis paceļas un viens iekšējais resursdatora nosaukums neizdodas, nosaukumu izšķiršana vai politika privātajā tīklā ir labākais aizdomās turamais.
Portāla sesijas arī beidzas neatkarīgi no tuneļa. Kad vieta atsauc piekļuvi, nodibinātais VPN savienojums pārtrūkst, lai gan tā akreditācijas dati nekad nav bijuši nepareizi. Atkārtoti autorizējiet portālu, pēc tam atkārtoti pievienojiet VPN un ļaujiet tam no jauna vienoties. VPN paroles rotācija tad neko nelabo un var jūs izslēgt.
Dodiet katru noslēpumu tikai sistēmai, kas to var pārbaudīt, un uzskatiet tabulai neatbilstošu pieprasījumu par stopzīmi, nevis apkārtceļa soli. Ja abas stadijas izturētas un tunelis joprojām atsakās, pirms jebkuru akreditācijas datu maiņas ierakstiet precīzu klienta kļūdu.