Openbare Wi-Fi-VPN: portaal, dekking en verbindingsverlies
Een VPN verandert wie je verkeer kan zien, niet of een hotelportaal het blokkeert. Vergelijk portaalafhandeling, app-dekking en kill-switchgedrag.
Openbare Wi-Fi is niet één bedreiging, dus een VPN is niet één antwoord. Het verbergt je verkeer voor het lokale netwerk en verplaatst het vertrouwen naar de operator, terwijl HTTPS nog steeds het stuk tussen browser en site beschermt. De praktische fouten op hotel- en cafenetwerken zijn de inlogpagina, gedeeltelijke dekking en wat er gebeurt bij een onderbreking. Vergelijk die drie voordat je besluit dat de tunnel werkt.
Wat de tunnel toevoegt op een netwerk dat je niet vertrouwt
Op een open netwerk kan een waarnemer in de buurt zien welk eindpunt je benadert en hoeveel verkeer er stroomt. Een tunnel vervangt dat beeld door een versleutelde stroom naar de VPN-server en maakt de operator tot een nieuwe partij om te vertrouwen. Het verbetert niet de eigen beveiliging van de site.
HTTPS blijft de bescherming tussen browser en site, en dat moet aan blijven. Een HTTP-formulier wordt niet vertrouwelijk alleen omdat één segment door een tunnel gaat. Een waarschuwing over certificaatvalidatie is een stopbord, geen hindernis om door te klikken.
| Layer | What it protects | What remains visible |
|---|---|---|
| HTTPS | Browser-to-site content | Server name, sizes, timing |
| VPN tunnel | Traffic to the VPN endpoint | VPN use, volume, timing |
| Portal login | Nothing by itself | Details you type at admission |
Rond eerst het inlogportaal af
Hotels en cafés blokkeren vaak gewoon verkeer tot een portaalstap is voltooid. Het VPN-eindpunt is gewoon verkeer, dus de client kan geen verbinding maken voordat die stap is gedaan. Gebruik de eigen inlogmelding van het apparaat en controleer of de operator bij de locatie past.
Als er meerdere vergelijkbare SSID's verschijnen, vraag het personeel welke echt is. Een officieel klinkende naam is geen identiteit, en een VPN kan een wachtwoord dat op een valse pagina is getypt niet terughalen. Sommige clients onderscheppen portalen zelf; als een always-on-beleid inloggen blokkeert, volg dan de gedocumenteerde pauzeprocedure van de client en schakel de tunnel daarna weer in.
Dekking hangt van de tunnel af, niet van het label
Een systeem-VPN kan de meeste apps dragen, terwijl een browserextensie alleen die browser draagt. Als dekking op openbare netwerken de reden is dat je verbond, lees dan de uitzonderingen voor split tunneling voordat je aanneemt dat alles binnen is. De hotspot ziet je apparaat nog steeds op zijn netwerk en het verkeer naar het VPN-eindpunt. Timing, volume en de gegevens die je bij het inloggen gaf, blijven zichtbaar.
Die ruil is het punt van de tunnel: minder waarnemers voor inhoud, geen onzichtbaarheid. Schrijf op welke apps echt gedekt zijn.
Bepaal wat er gebeurt als de tunnel wegvalt
Roaming tussen toegangspunten of het wekken van het apparaat kan de verbinding onderbreken. Automatisch opnieuw verbinden probeert de tunnel te herstellen; een kill switch bepaalt of direct verkeer in de tussenperiode is toegestaan. Handmatig loskoppelen, de app sluiten en een onverwachte fout kunnen verschillende regels volgen.
Test die overgangen met onschadelijk verkeer, en bevestig het gedrag dat je verwacht, niet dat een marketingpagina suggereert. Houd het besturingssysteem up-to-date, schakel bestandsdeling uit die je niet nodig hebt en gebruik de hostfirewall waar die helpt.
Als de reis voorbij is, verwijder dan gastnetwerken waar je niet automatisch mee wilt verbinden. Bewaar een werkend profiel voordat je reist, want een installatiepagina is nutteloos als juist het netwerk niet kan verbinden.