Одделете ги најавите на Wi-Fi порталот од најавите на VPN
Два различни системи бараат најава: Wi-Fi на местото и вашата VPN порта. На екранот изгледаат исто, но дозволуваат сосема различни работи. Прашајте во секој прозорец: кој навистина може да ја провери оваа тајна?
Два различни системи бараат да се најавите пред да стигнете до нешто корисно на јавна мрежа: Wi-Fi на местото и вашата VPN порта. На екранот изгледаат исто и дозволуваат сосема различни работи. Порталот одлучува дали овој уред смее да ја користи локалната мрежа; VPN одлучува дали вие смеете да стигнете до приватна мрежа на друго место. Ги држам одвоени со поставување едно прашање во секој прозорец: кој навистина може да ја провери оваа тајна? Следи контролната листа што ја применувам во хотели, аеродроми и конференциски места, вклучително и точките каде што престанувам да пишувам.
Поврзете ја секоја најава со услугата што ја проверува
Една хотелска врска може да вклучува четири одделни проверки, а само некои бараат ваш внес. Прво ставете ги во редослед, бидејќи екранот ретко кажува на која фаза и припаѓа.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Мрежите 802.1X, вообичаени во канцеларии и универзитети, ги заматуваат првите два реда. Таму најавата на Wi-Fi е сама по себе проверка на идентитет кај RADIUS сервер, а клиентот може да претстави насочувачки идентитет додека вистинската сметка патува внатре во шифрираната размена. Дури и тогаш проверката е за приклучување кон мрежата; таа не го одобрува тунелот, и VPN портата не ја прифаќа како доказ за ништо.
Редоследот е поважен од ознаките. Captive порталите постојат затоа што пристапот може да се даде по поврзувањето, поради што местото може да ја предаде страницата на специјализиран добавувач. RFC 8952 на IETF го третира порталот како своја компонента, па непознат домен е причина за проверка, а не сам по себе доказ за измама. Споредете го доменот со писмените упатства на местото, а полињата со табелата.
Проверете што смее да бара порталот
Полињата на порталот се за право, не за идентитет: број на соба, презиме од резервацијата, код на ваучер, кодот отпечатен на обвивката на клучот, е-пошта за временна пропусница, прифаќање на условите. Местото веќе знае кој ја резервирал собата, па може да ги усогласи тие факти без да научи нешто што би му овозможило да дејствува како вас на друго место.
Сето што е надвор од тој список заслужува пауза. Страницата на хотспотот не може да ја провери вашата лозинка за доменот, и таа исто така не може да го провери вашиот еднократен код за VPN, код за враќање или приватен клуч, и нема причина да ги бара. Единствениот легитимен исклучок е мрежа управувана од организација: гостински SSID во канцеларија или Wi-Fi на конференција може да ве упати кај добавувачот на идентитет што веќе го користите за работа. Таа уште е препознатлива: домаќинот за најава е вашиот секојдневен, екранот за согласност го именува вашиот закупец, а текот се отвора во видлив јазиче на прелистувачот.
Маркетинг е-поштата е одделна: патнички псевдоним го задоволува полето без да го предаде вашиот работен идентитет.
Проверете дали VPN клиентот бара свои акредитиви
Клиентот бара токму она за што е конфигуриран неговиот профил, па очекуваниот прозорец е својство на профилот, а не на мрежата на која случајно се наоѓате. Профилите со сертификат обично покажуваат избор на профил и потоа се поврзуваат тивко. Профилите со корисничко име и лозинка бараат и двете, често со еднократен код. SSO профилите го отвораат вашиот прелистувач кај добавувачот на идентитет и се враќаат со токен. WireGuard е повторно различен: ги автентификува уредите со јавен клуч и нема најава на корисник, па прозорецот што нуди корисничко име и лозинка за WireGuard не го опишува WireGuard.
Прочитајте го профилот пред патувањето. Во OpenVPN auth-user-pass ви кажува дека се очекува барање за лозинка, додека cert, key или pkcs12 значи дека сертификатот треба да ја заврши работата. Ако профил што обично се поврзува без барање наеднаш побара лозинка, посомневајте се во профил што не успеал да го вчита сертификатот или преминал на друг метод. Барањето не е покана да ја внесете работната лозинка во кој и да е појавен прозорец.
Ниту еден легитимен VPN клиент не бара бројот на собата, ваучерот на порталот или лозинката за Wi-Fi како внес за автентикација. Кога тоа се случува, или клиентот не е тоа што се претставува, или captive портал го пресретнува сообраќајот пред да се создаде тунелот и вие читате HTML страница стилизирана како најава.
Запрете на овие пет услови
Ова се точките каде што застанувам наместо да продолжам со веродостојно заобиколување. Секоја е евтина за проверка и скапа за грешка.
- На порталот или на SSO страницата се појавува предупредување за сертификат или TLS. Не преминувајте преку него со кликнување за да стигнете до мрежата.
- Страницата бара тајна што само VPN портата или добавувачот на идентитет може да ја провери: лозинка за домен, еднократен код, код за враќање, приватен клуч.
- Доменот не се совпаѓа со печатените упатства на местото или со домаќинот за најава што вашата организација го документира за своите услуги.
- Од вас се бара да инсталирате коренски сертификат, конфигурациски профил или помошна апликација што не доаѓа од управувањето со вашите уреди.
- Пристигнува MFA одобрување што не сте го започнале, или VPN клиентот бара хотелски акредитиви.
Алтернативата не е друга лозинка. Користете хотспот од телефон, прашајте на рецепцијата за точното име на мрежата и методот на пристап, и пријавете ја страницата кај тој што ја управува мрежата или кај вашата IT служба. Ништо од тоа не бара проверка на пристапни податоци на страница што не можете да ја припишете.
Припишете го неуспехот на правилната фаза
Откако двете фази ќе поминат, неуспесите уште се случуваат, а грешката обично ја именува фазата ако ја читате по ред: поврзување, доделување адреса, авторизација на порталот, воспоставување тунел, потоа внатрешниот ресурс. Менувањето на VPN лозинката затоа што истекол код на порталот губи време и го остава вистинскиот проблем на место.
Неколку проби ги одделуваат фазите. По најавата на порталот, побарајте обична јавна HTTPS страница. Ако наместо неа се врати порталот, авторизацијата никогаш не била завршена на тој слој. Ако VPN клиентот пријави дека не може да ја достигне портата, проблемот е под тунелот: сесијата на порталот, разрешувањето на имиња или мрежа што го блокира портот. Ако тунелот се подигне и едно внатрешно име на домаќин не успее, разрешувањето на имиња или политиката во приватната мрежа е подобриот осомничен.
Сесиите на порталот исто така истекуваат независно од тунелот. Кога местото го одзема пристапот, воспоставената VPN врска паѓа иако нејзините акредитиви никогаш не биле погрешни. Повторно авторизирајте го порталот, потоа повторно поврзете го VPN и оставете го повторно да преговара. Ротирањето на VPN лозинката тогаш не поправа ништо и може да ве заклучи.
Дајте ја секоја тајна само на системот што може да ја провери, и третирајте барање што не се совпаѓа со табелата како знак за запирање, а не како чекор што треба да се заобиколи. Ако двете фази поминат, а тунелот уште одбива, забележете ја точната грешка на клиентот пред да смените било кои акредитиви.