Asingkan log masuk portal Wi-Fi daripada log masuk VPN
Dua sistem berbeza meminta perkara yang sama: log masuk. Portal mengawal akses setempat; VPN mengawal akses ke rangkaian peribadi. Tanya pada setiap tetingkap siapa yang benar-benar boleh mengesahkan rahsia itu.
Dua sistem berbeza meminta anda log masuk sebelum anda mencapai sesuatu yang berguna pada rangkaian awam: Wi-Fi tempat itu dan gerbang VPN anda. Kedua-duanya kelihatan sama pada skrin dan membenarkan perkara yang sangat berbeza. Portal menentukan sama ada peranti ini boleh menggunakan rangkaian setempat; VPN menentukan sama ada anda boleh mencapai rangkaian peribadi di tempat lain. Saya memisahkannya dengan mengemukakan satu soalan pada setiap tetingkap: siapa yang benar-benar boleh mengesahkan rahsia ini? Berikut ialah senarai semak yang saya jalankan di hotel, lapangan terbang dan tempat persidangan, termasuk titik-titik apabila saya berhenti menaip.
Petakan setiap log masuk kepada perkhidmatan yang memeriksanya
Satu sambungan hotel boleh melibatkan empat pemeriksaan berasingan, dan hanya sebahagian daripadanya meminta input anda. Susun dahulu, kerana skrin jarang menyatakan peringkat mana yang dimaksudkan.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Rangkaian 802.1X, lazim di pejabat dan universiti, mengaburkan dua baris pertama. Di sana log masuk Wi-Fi sendiri ialah pemeriksaan identiti terhadap pelayan RADIUS, dan klien boleh mengemukakan identiti penghalaan sementara akaun sebenar bergerak di dalam pertukaran yang disulitkan. Walaupun begitu pemeriksaan itu berkaitan menyertai rangkaian; ia tidak membenarkan terowong, dan gerbang VPN tidak menerimanya sebagai bukti apa-apa.
Urutan lebih penting daripada label. Portal captif wujud kerana akses boleh diberikan selepas penyambungan, sebab itu tempat boleh menyerahkan halaman itu kepada pembekal khusus. RFC 8952 daripada IETF menganggap portal sebagai komponennya sendiri, jadi domain yang tidak dikenali ialah sebab untuk memeriksa, bukan bukti penipuan dengan sendirinya. Bandingkan domain dengan arahan bertulis tempat itu, dan medan dengan jadual.
Periksa apa yang portal dibenarkan minta
Medan portal berkaitan hak, bukan identiti: nombor bilik, nama keluarga tempahan, kod baucar, kod yang dicetak pada sarung kunci, e-mel untuk pas sementara, penerimaan terma. Tempat itu sudah tahu siapa yang menempah bilik, jadi ia boleh memadankan fakta itu tanpa mempelajari apa-apa yang membolehkannya bertindak sebagai anda di tempat lain.
Apa-apa di luar senarai itu patut dihentikan. Halaman hotspot tidak boleh mengesahkan kata laluan domain anda, dan ia juga tidak boleh mengesahkan kod sekali guna VPN anda, kod pemulihan atau kunci peribadi, dan ia tiada sebab untuk mahukannya. Satu-satunya pengecualian sah ialah rangkaian yang dikendalikan organisasi: SSID tetamu pejabat atau Wi-Fi persidangan boleh menghantar anda kepada pembekal identiti yang sudah anda gunakan untuk kerja. Ia masih boleh dibezakan: hos log masuk ialah hos harian anda, skrin persetujuan menamakan penyewa anda, dan aliran itu terbuka dalam tab pelayar yang kelihatan.
E-mel pemasaran berasingan: alias perjalanan memenuhi medan itu tanpa menyerahkan identiti kerja anda.
Periksa sama ada klien VPN mahu kelayakannya sendiri
Klien meminta tepat apa yang dikonfigurasikan oleh profilnya, jadi tetingkap yang dijangka ialah sifat profil, bukan rangkaian tempat anda berada. Profil sijil biasanya menunjukkan pilihan profil dan kemudian bersambung secara senyap. Profil nama pengguna dan kata laluan meminta kedua-duanya, selalunya dengan kod sekali guna. Profil SSO membuka pelayar anda kepada pembekal identiti dan kembali dengan token. WireGuard berbeza lagi: ia mengesahkan peranti dengan kunci awam dan tiada log masuk pengguna, jadi tetingkap yang menawarkan nama pengguna dan kata laluan WireGuard tidak menggambarkan WireGuard.
Baca profil sebelum pergi. Di OpenVPN, auth-user-pass memberitahu anda bahawa gesaan kata laluan dijangka, manakala cert, key atau pkcs12 bermaksud sijil yang sepatutnya membuat kerja itu. Jika profil yang biasanya bersambung tanpa gesaan tiba-tiba meminta kata laluan, syaki profil yang gagal memuatkan sijilnya atau beralih kepada kaedah lain. Gesaan bukan jemputan untuk menaip kata laluan kerja anda ke mana-mana tetingkap yang muncul.
Tiada klien VPN sah meminta nombor bilik, baucar portal atau frasa laluan Wi-Fi sebagai input pengesahan. Apabila itu berlaku, sama ada klien bukan seperti yang didakwanya, atau portal captif memintas trafik sebelum terowong terbentuk dan anda membaca halaman HTML yang digayakan seperti log masuk.
Berhenti pada lima syarat ini
Inilah titik-titik apabila saya berhenti daripada meneruskan dengan jalan pintas yang munasabah. Setiap satu murah diperiksa dan mahal jika tersilap.
- Amaran sijil atau TLS muncul pada portal atau pada halaman SSO. Jangan klik melaluinya untuk mencapai rangkaian.
- Halaman itu meminta rahsia yang hanya gerbang VPN atau pembekal identiti boleh mengesahkan: kata laluan domain, kod sekali guna, kod pemulihan, kunci peribadi.
- Domain tidak sepadan dengan arahan bercetak tempat itu atau dengan hos log masuk yang didokumentasikan organisasi anda untuk perkhidmatannya sendiri.
- Anda diminta memasang sijil akar, profil konfigurasi atau aplikasi pembantu yang tidak datang daripada pengurusan peranti anda.
- Kelulusan MFA tiba yang anda tidak mulakan, atau klien VPN meminta kelayakan hotel.
Alternatifnya bukan kata laluan lain. Gunakan hotspot telefon, tanya di kaunter penyambut nama rangkaian dan kaedah akses yang tepat, dan laporkan halaman itu kepada pengendali rangkaian atau meja IT anda. Tiada satu pun daripada itu memerlukan pengujian kelayakan terhadap halaman yang tidak dapat anda kaitkan.
Kaitkan kegagalan dengan peringkat yang betul
Selepas kedua-dua peringkat lulus, kegagalan masih berlaku, dan ralat biasanya menamakan peringkat jika dibaca mengikut urutan: penyambungan, pemberian alamat, kebenaran portal, pembentukan terowong, kemudian sumber dalaman. Menukar kata laluan VPN kerana kod portal tamat tempoh membuang masa dan membiarkan masalah sebenar kekal.
Beberapa ujian memisahkan peringkat itu. Selepas log masuk portal, minta halaman HTTPS awam biasa. Jika portal yang kembali, kebenaran tidak pernah selesai pada lapisan itu. Jika klien VPN melaporkan tidak dapat mencapai gerbang, masalahnya di bawah terowong: sesi portal, penyelesaian nama atau rangkaian yang menyekat port. Jika terowong naik dan satu nama hos dalaman gagal, penyelesaian nama atau dasar di dalam rangkaian peribadi ialah suspek yang lebih baik.
Sesi portal juga tamat tanpa bergantung pada terowong. Apabila tempat membatalkan akses, sambungan VPN yang sudah terbentuk terputus walaupun kelayakannya tidak pernah salah. Benarkan semula portal, kemudian sambung semula VPN dan biarkan ia berunding semula. Memutar kata laluan VPN ketika itu tidak membaiki apa-apa dan boleh mengunci anda di luar.
Berikan setiap rahsia hanya kepada sistem yang boleh mengesahkannya, dan anggap permintaan yang tidak sepadan dengan jadual sebagai tanda berhenti, bukan langkah yang perlu dielakkan. Jika kedua-dua peringkat lulus dan terowong masih menolak, tangkap ralat klien yang tepat sebelum menukar mana-mana kelayakan.