Openbaar Wi-Fi voor één apparaat: waarom een VPN-uitgang niet kan helpen

De laptop toont Verbonden, de handshake lukt, en het portaal weigert nog steeds een pagina te laden op een tweede apparaat. Dat is geen tunnelprobleem. De apparaatlimiet van een hotspot hoort bij het toegangssysteem, dat de apparaten telt die het heeft geautoriseerd en de sessies die het heeft vrijgegeven. Een VPN verandert waar het verkeer na autorisatie naar buiten gaat, en verandert niets aan hoeveel apparaten dat systeem toelaat.

Wat het portaal werkelijk telt

Captive portals volgen een autorisatietoekenning, en de toekenning hangt meestal aan iets wat het netwerk kan identificeren. Een MAC-adres is de gebruikelijke keuze, een sessiecookie in de browser een andere, en sommige systemen combineren een van beide met een kamernummer of een gedrukt ticket. Vier apparaten op één kamercode betekent vier toekenningen, en een vijfde apparaat heeft er geen, welke software het ook draait. Een VPN op dat vijfde apparaat installeren verandert het antwoord van geweigerd in geweigerd.

Associatie en autorisatie zijn gescheiden toestanden. Een laptop kan zich met het toegangspunt associëren, een DHCP-lease houden en toch geen internet hebben, omdat het portaal hem niets heeft toegekend. Het Wi-Fi-pictogram lezen als bewijs van portaalsucces is de eerste fout in deze hele klasse van meldingen.

Bevestig de regel bij de locatie

Stel twee vragen in plaats van te gokken: hoeveel apparaten het account toestaat, en hoe een verouderde sessie wordt vrijgegeven. Het tweede is belangrijker, want een toekenning die een vertrokken apparaat achterlaat, is meestal wat het volgende blokkeert. Receptionisten kunnen die vaak sneller vrijgeven of een nieuwe code uitgeven dan welke omweg aan de clientkant ook. Gebruik die procedure voordat je hardwareadressen wijzigt, want het kopiëren van de identificatie van een ander apparaat schendt de voorwaarden van het netwerk en zet een dubbele identiteit op het segment.

Het gedrag verschilt per operator. Sommige systemen binden aan een apparaatvingerafdruk, andere aan een browsersessie, en enkele staan een vast aantal gelijktijdige toekenningen toe die op een timer verlopen. Het beleid van de ene locatie voorspelt niets over de volgende, daarom wint het antwoord van de locatie van elke algemene regel.

Houd portaal- en VPN-inloggegevens gescheiden

Een kamercode is geen gateway-login, en een werkinloggegeven hergebruiken in een portaal is een slechte ruil, zelfs wanneer beide schermen een gebruikersnaamveld en een wachtwoordveld tonen. Autoriseer eerst het bedoelde apparaat, verifieer een klein gewoon verzoek waar de locatie dat toestaat, en verbind pas daarna de tunnel. Die volgorde geeft je een schone toerekening wanneer iets mislukt, omdat de portaalstap al bewezen was voordat de VPN in beeld kwam.

Wanneer het portaal weigert, is de tunnel de verkeerde plek om te debuggen. Niets in de VPN-configuratie kan toegang geven die het toegangssysteem nooit heeft uitgegeven.

Wat een reisrouter verandert

Een reisrouter kan helpen door één apparaat stroomopwaarts te vertegenwoordigen terwijl hij er lokaal meerdere bedient, en hij verandert wat het portaal ziet. Autorisatie bindt aan de identificatie van de router in plaats van aan elke laptop, en elke client erachter deelt één toekenning en één openbaar adres. Of die opzet aanvaardbaar is hangt af van de voorwaarden van het netwerk, en veel locaties verbieden delen uitdrukkelijk. Een router is een legitiem ontwerp waar delen is toegestaan en een overtreding waar niet, ongeacht de technische waarde.

Niets hiervan heft de limiet op. Het verplaatst de enige toekenning van een laptop naar een router, wat nuttig is voor één reiziger met meerdere apparaten en nutteloos voor twee mensen die elk hun eigen autorisatie nodig hebben.

Los eerst het lokale autorisatieprobleem op. Een tunnel die perfect werkt kan nog steeds geen toekenning maken die het toegangssysteem nooit heeft uitgegeven.