Wi-Fi порталын нэвтрэлтийг VPN нэвтрэлтээс тусгаарла
Хоёр өөр систем нэвтрэхийг шаарддаг: газрын Wi-Fi болон таны VPN гарц. Дэлгэц дээр ижил харагдах боловч огт өөр зүйлийг зөвшөөрдөг. Цонх бүрт асуу: энэ нууцыг үнэхээр хэн баталгаажуулж чадах вэ?
Нийтийн сүлжээнд хэрэгтэй зүйлд хүрэхийн өмнө хоёр өөр систем таныг нэвтрэхийг шаарддаг: газрын Wi-Fi болон таны VPN гарц. Дэлгэц дээр ижил харагдах боловч огт өөр зүйлийг зөвшөөрдөг. Портал энэ төхөөрөмж локал сүлжээг ашиглаж болох эсэхийг шийддэг; VPN та өөр газар хувийн сүлжээнд хүрч чадах эсэхийг шийддэг. Би цонх бүрт нэг асуулт тавьж тэдгээрийг ялгадаг: энэ нууцыг үнэхээр хэн баталгаажуулж чадах вэ? Дараах нь зочид буудал, нисэх онгоцны буудал, чуулганы газарт хэрэглэдэг шалгах жагсаалт бөгөөд бичихээ болих цэгүүдийг оролцуулна.
Нэвтрэлт бүрийг түүнийг шалгадаг үйлчилгээтэй холбо
Нэг зочид буудлын холболт дөрвөн тусдаа шалгалт агуулж болох бөгөөд зөвхөн зарим нь таны оруулгыг хүсдэг. Эхлээд дарааллаар нь цэгцэл, учир нь дэлгэц аль үе шатанд хамаарахыг ховор хэлдэг.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Оффис, их сургуульд түгээмэл 802.1X сүлжээнүүд эхний хоёр мөрийг бүдгэрүүлдэг. Тэнд Wi-Fi нэвтрэлт нь RADIUS сервертэй харьцах таних шалгалт бөгөөд клиент чиглүүлэлтийн таних тэмдгийг танилцуулж болно, бодит бүртгэл шифрлэгдсэн солилцооны дотор аялдаг. Тэр ч байтугай шалгалт сүлжээнд нэгдэх тухай бөгөөд энэ нь туннелийг зөвшөөрөхгүй, VPN гарц үүнийг ямар ч зүйлийн нотолгоо болгон хүлээж авдаггүй.
Дараалал шошгоноос илүү чухал. Олзлогдсон порталууд холбогдсоны дараа хандалт олгож болох учраас бий бөгөөд тиймээс газар хуудсыг мэргэшсэн үйлчилгээ үзүүлэгчид шилжүүлж болно. IETF-ийн RFC 8952 порталыг өөрийн бүрэлдэхүүн хэсэг гэж үздэг тул танихгүй домэйн нь шалгах шалтгаан бөгөөд өөрөө залилангийн нотолгоо биш. Домэйныг газрын бичгээр өгсөн заавартай, талбаруудыг хүснэгттэй харьцуул.
Портал юу асууж болохыг шалга
Порталын талбарууд эрхтэй холбоотой, таних тэмдэгтэй биш: өрөөний дугаар, захиалгын овог, ваучер код, түлхүүрийн гэрт хэвлэсэн код, хугацаатай нэвтрэх эрхийн имэйл, нөхцөлийг хүлээн зөвшөөрөх. Газар өрөөг хэн захиалсныг аль хэдийн мэддэг тул өөр газар таны оронд ажиллах боломж олгох юу ч суралгүйгээр эдгээр баримтыг тулгаж чадна.
Энэ жагсаалтаас хэтэрсэн бүхэн завсарлага хүртэх ёстой. Хотспот хуудас таны домэйн нууц үгийг баталгаажуулж чадахгүй, мөн таны VPN-ийн нэг удаагийн код, сэргээх код эсвэл хувийн түлхүүрийг баталгаажуулж чадахгүй бөгөөд тэдгээрийг хүсэх ямар ч шалтгаан байхгүй. Цорын ганц хууль ёсны үл хамаарах зүйл бол байгууллагын удирддаг сүлжээ: оффисын зочны SSID эсвэл чуулганы Wi-Fi таныг ажилдаа аль хэдийн ашигладаг таних үйлчилгээ үзүүлэгч рүү илгээж болно. Үүнийг ялгах боломжтой хэвээр: нэвтрэх хост нь таны өдөр тутмын хост, зөвшөөрлийн дэлгэц таны түрээслэгчийг нэрлэдэг, урсгал харагдах хөтчийн таб дээр нээгддэг.
Маркетингийн имэйл тусдаа: аяллын хуурамч нэр нь ажлын таних тэмдгийг өгөхгүйгээр талбарыг хангадаг.
VPN клиент өөрийн итгэмжлэлийг асууж байгаа эсэхийг шалга
Клиент зөвхөн профайлдаа тохируулсан зүйлийг л асуудаг тул хүлээгдэж буй цонх нь профайлын шинж чанар бөгөөд таны санамсаргүй байгаа сүлжээний шинж биш. Сертификатын профайлууд ихэвчлэн профайл сонголтыг харуулаад чимээгүй холбогддог. Хэрэглэгчийн нэр, нууц үгийн профайлууд хоёуланг нь асуудаг, ихэвчлэн нэг удаагийн кодтой. SSO профайлууд хөтчийг таних үйлчилгээ үзүүлэгч рүү нээж, токентой буцаж ирдэг. WireGuard өөр дахин: төхөөрөмжүүдийг нийтийн түлхүүрээр баталгаажуулдаг бөгөөд хэрэглэгчийн нэвтрэлт байхгүй тул WireGuard-ийн хэрэглэгчийн нэр, нууц үгийг санал болгож буй цонх WireGuard-ийг дүрслэхгүй.
Аялахаасаа өмнө профайлыг унш. OpenVPN дотор auth-user-pass нууц үг асуухыг хүлээж байгааг хэлдэг бол cert, key эсвэл pkcs12 нь ажлыг сертификат хийх ёстой гэсэн үг. Ихэвчлэн асуултгүй холбогддог профайл гэнэт нууц үг асуувал сертификатаа ачаалж чадаагүй эсвэл өөр аргад шилжсэн профайлаас сэрэмжлээрэй. Асуулт нь гарч ирсэн аль ч цонхонд ажлын нууц үгээ бичих урилга биш.
Ямар ч хууль ёсны VPN клиент өрөөний дугаар, порталын ваучер эсвэл Wi-Fi нууц үгийг баталгаажуулалтын оруулга болгон асуудаггүй. Ийм зүйл тохиолдоход клиент өөрийгөө хэлж байгаа зүйл биш, эсвэл олзлогдсон портал туннель үүсэхээс өмнө урсгалыг таслан, та нэвтрэлт мэт хэлбэржүүлсэн HTML хуудсыг уншиж байна.
Эдгээр таван нөхцөлд зогс
Эдгээр нь боломжит тойрч гарах замаар үргэлжлүүлэхийн оронд би зогсдог цэгүүд юм. Нэг бүрийг шалгах хямд, алдах үнэтэй.
- Портал эсвэл SSO хуудсанд сертификат эсвэл TLS анхааруулга гарч ирнэ. Сүлжээнд хүрэхийн тулд дарж үл хөндлөнгөрнө үү.
- Хуудас нь зөвхөн VPN гарц эсвэл таних үйлчилгээ үзүүлэгч баталгаажуулж чадах нууцыг асуудаг: домэйн нууц үг, нэг удаагийн код, сэргээх код, хувийн түлхүүр.
- Домэйн нь газрын хэвлэмэл заавар эсвэл таны байгууллага өөрийн үйлчилгээнд зориулж баримтжуулсан нэвтрэх хостой таарахгүй байна.
- Танаас төхөөрөмжийн удирдлагаас ирээгүй үндсэн сертификат, тохиргооны профайл эсвэл туслах програмыг суулгахыг шаардаж байна.
- Таны эхлүүлээгүй MFA зөвшөөрөл ирж байна, эсвэл VPN клиент зочид буудлын итгэмжлэл асууж байна.
Орлуулах зам нь өөр нууц үг биш. Утасны хотспот ашигла, ресепшнээс сүлжээний яг нэрийг болон хандах аргыг асуу, хуудсыг сүлжээг удирддаг хүн эсвэл таны IT албанд мэдэгд. Эдгээрийн аль нь ч таны хамааруулж чадахгүй хуудасны эсрэг итгэмжлэл шалгахыг шаарддаггүй.
Алдааг зөв үе шатанд хамааруул
Хоёр үе шат хоёулаа давсны дараа ч алдаа гардаг бөгөөд алдаа нь дарааллаар уншвал ихэвчлэн үе шатыг нэрлэдэг: холболт, хаяг олгох, порталын зөвшөөрөл, туннель тогтоох, дараа нь дотоод нөөц. Порталын код дууссан учраас VPN нууц үгийг солих нь цаг үрж, жинхэнэ асуудлыг байранд нь үлдээдэг.
Хэдэн туршилт үе шатуудыг тусгаарладаг. Порталын нэвтрэлтийн дараа энгийн нийтийн HTTPS хуудас хүс. Хэрэв оронд нь портал буцаж ирвэл тухайн давхаргад зөвшөөрөл хэзээ ч дуусаагүй. VPN клиент гарцад хүрч чадахгүй гэж мэдээлбэл асуудал туннелийн доор байна: порталын сесс, нэрийн шийдвэрлэлт эсвэл портыг блоколдог сүлжээ. Туннель босч, нэг дотоод хостын нэр бүтэлгүйтвэл хувийн сүлжээний доторх нэрийн шийдвэрлэлт эсвэл бодлого илүү сайн сэжиг юм.
Порталын сессүүд туннелээс үл хамааран дуусдаг. Газар хандалтыг цуцалбал итгэмжлэл нь хэзээ ч буруу байгаагүй ч тогтоосон VPN холболт унана. Порталыг дахин зөвшөөр, дараа нь VPN-ийг дахин холбож, дахин хэлэлцээр хийхийг зөвшөөр. Тэр үед VPN нууц үгийг эргүүлэх нь юу ч засдаггүй бөгөөд таныг гадаа түгжиж болно.
Нууц бүрийг зөвхөн түүнийг баталгаажуулж чадах системд өг, хүснэгтэд нийцэхгүй асуултыг тойрч гарах алхам биш харин зогсоох дохио гэж үз. Хоёр үе шат хоёулаа давсан ч туннель татгалзса, ямар ч итгэмжлэл солихоос өмнө клиентийн яг алдааг бичиж ав.