Test een hotspot voordat werkgegevens in de buurt komen

De hotspot geeft een adres uit voordat hij internet uitgeeft, en het vertrouwen wordt in precies dat gat beslist. Het apparaat associeert, vraagt een adres aan, en dan wordt elk uitgaand verzoek onderschept tot een portaal zegt dat de sessie is geautoriseerd. Dat mechanisme verklaart waarom een pagina kan lijken te laden terwijl er geen echte verbinding is. Test het gat met iets onschuldigs voordat er werkgegevens aan raken.

Wat de hotspot met je eerste verzoek doet

Associatie geeft het apparaat een link, en DHCP geeft het een adres, een gateway en meestal een DNS-server die van de locatie is. Tot de autorisatie rond is, laat de gateway uitgaand verkeer vallen of leidt het om, en veel portalen antwoorden op DNS voor elke naam met hun eigen adres. Daarom lijkt een lookup te slagen: het antwoord is het portaal, niet de site die je vroeg. Het netwerk gedraagt zich zoals ontworpen; het is alleen nog niet het internet.

Het eerste HTTP-verzoek krijgt meestal een omleiding naar het portaal, die het besturingssysteem voor je kan openen. HTTPS kan niet zo worden omgeleid, dus het mislukt of blijft hangen, en de browser toont een certificaatfout of een time-out. Het verschil is diagnostisch: een HTTP-omleiding is het portaal dat spreekt, terwijl een TLS-fout naar een ongerelateerde host iets anders is. Een ommuurde tuin, waar een paar domeinen worden doorlaten voor betaling of aanmelding, levert een derde patroon op.

Bevestig het netwerk voordat je inlogt

Bevestig de SSID en de inlogmethode bij de locatie via een kanaal dat niet het netwerk zelf is. Een portaal dat om een bedrijfswachtwoord, een kaartnummer en een e-mailadres vraagt doet drie verschillende dingen, en alleen de laatste twee zijn gebruikelijk voor gasttoegang. Geef de voorkeur aan de melding van het besturingssysteem over een captive portaal, die de omleiding via een bekend eindpunt herkent in plaats van elke pagina te vertrouwen die verschijnt. Als de locatie haar eigen portaal niet kan beschrijven, is dat een reden om te wachten en niet om te improviseren.

Een certificaatwaarschuwing tijdens het inloggen bij het portaal is geen stap die je wegklikt. Het portaal hoeft zich niet voor te doen als een ongerelateerde host om je te authenticeren.

Doe de kleinste controle die toegang aantoont

Rond de legitieme autorisatie af, vraag dan één gewone openbare HTTPS-pagina aan die je niet eerder hebt geladen, zodat het antwoord niet uit de cache kan komen. Noteer wat er werkelijk misging als het misgaat: een naamopzoeking, een verbindingstime-out, een certificaatfout of een dienstweigering. Die vier horen bij verschillende lagen, en ze opschrijven voorkomt dat de volgende persoon op gevoel opnieuw test. Verbind daarna de bedoelde VPN en vraag één resource aan die deze vereist.

Houd de test klein. Een speedtest-download op gemeten toegang beantwoordt een vraag die niemand stelde en kan de gebruiker geld kosten. Een antwoord met headers is genoeg om bereikbaarheid vast te stellen, en het trekt geen megabytes door een link die per gigabyte factureert.

Als gewone toegang werkt en de tunnel niet, is dat een ander onderzoek dan bij een netwerk dat nooit autoriseerde. Houd de twee resultaten apart in plaats van meerdere privacyinstellingen tegelijk te wijzigen.

Houd privéwerk buiten de vergelijking

Elke app op het apparaat is een mogelijke waarnemer, en een captive portaal is het moment waarop ze allemaal hun servers proberen te bereiken. Sluit de apps die je kunt, en behandel een beheerd apparaat dat altijd aan staat als een beleidsvraag en niet als een technische: gebruik de goedgekeurde methode voor de vergelijking in plaats van de bescherming te verwijderen die het beheerd maakt. Als het apparaat verkeer buiten de tunnel volledig verbiedt, doe de controle dan op een ander, niet-gevoelig apparaat. Het doel van de oefening is om over het netwerk te leren zonder er inloggegevens aan bloot te stellen.

Leg het verkeer van anderen niet vast om de locatie te diagnosticeren, en houd elke diagnostische opname binnen je eigen apparaat en sessie. Controleer adres- en identificatievelden voordat je een opname aan een ticket hangt, want het netwerk van de locatie is niet jouw bewijskast.

Bepaal wat het resultaat je toestaat

Drie uitkomsten zijn mogelijk: volledige toegang met een werkende tunnel, toegang alleen tot het portaal met een falende tunnel, of helemaal geen toegang. Elk heeft een andere volgende stap, en de waarde van de test is weten in welke je zit voordat je instellingen wijzigt. Volledige toegang betekent dat werk via de tunnel door kan gaan; toegang alleen tot het portaal suggereert dat de poort of het protocol van de tunnel is geblokkeerd, dus een ander transport of netwerk is het antwoord; geen toegang betekent dat de locatie de taak vandaag niet kan ondersteunen. Een apparaat dat altijd maar één protocol probeert, kan die niet onderscheiden.

Noteer de SSID, de uitkomst en de tijd, zodat de volgende persoon op dezelfde locatie met bewijs begint. Apples richtlijn voor captive netwerken beschrijft het detectiegedrag achter de melding, en dat is het deel dat de moeite waard is te begrijpen voordat je de VPN de schuld geeft.