Captive portal og VPN i dødlås: kven flyttar seg først

Hotellet sin portal vil sjå ein nettlesar før han slepp gjennom nokon trafikk. VPN-en din nektar å sleppe gjennom trafikk før tunnelen er oppe. Kvar side ventar på den andre, og begge oppfører seg nøyaktig som dei er konfigurerte. Berre to rekkjefølgjer bryt denne dødlåsen, og dei skil seg i kva dei avdekkjer medan gapet er ope. Vel éin med vilje i staden for å slå av og på kva som helst innstilling som får nettlesaren til å lastast.

To rekkjefølgjer, éi av dei fungerer

Anten slepp nettverket deg inn først og tunnelen kjem etterpå, eller du opnar eit smalt unntak for portalen og gjenopprettar blokkeringa etterpå. Begge er legitime. Det som ikkje er legitimt, er å slå av blokkeringa og gløyme å setje ho tilbake.

Dei to rekkjefølgjene er ikkje like gode i alle situasjonar. Ei administrert eining med ein pålagd opptaksprosess har eitt svar, og ein personleg berbar PC på hotell-Wi-Fi har eit anna. Samanlikninga handlar om kva kvart alternativ gjev avkall på.

Byrja med å vite kva av dei klienten og einingpolicyen din faktisk støttar.

Alternativ A: slepp nettverket inn, koble deretter til tunnelen

Stadfest det forventa nettverksnamnet, og bruk deretter påloggingsforespurnaden til operativsystemet eller den captive portal-flyten klienten støttar. På iPhone og iPad kan det å lukke påloggingsarket anten bryte tilknytinga eller halde henne med ei åtvaring om at nettverket ikkje har internett, og det er ulike utgangspunkt. Fullfør opptakstrinnet først, og ta deretter opp tunnelen. Denne rekkjefølgja held blokkeringa intakt heile tida medan tunnelen er nede.

Haken er at ein portal som autoriserer internettilgang, ikkje har autentisert VPN-kontoen din. Tunnelen må likevel koble til etterpå, og han kan mislukkast av sine eigne grunnar. Opptak og autentisering er separate hendingar som folk smeltar saman til éi.

Viss opptaket fortset å gå ut, noter om portalen spør igjen, om nettverket fell ut eller om berre VPN-en feilar.

Alternativ B: eit smalt påloggingsunntak, og deretter gjenopprett blokkeringa

Alternativet er å tillate trafikken til portalen medan blokkeringa elles gjeld, logge på og deretter fjerne unntaket. Unntaket må vere smalt: éin destinasjon eller eitt adresseområde, i påloggingstida, med blokkeringa gjenoppretta straks etterpå. Eit breitt mellombels vindauge er korleis ei pålogging på to minutt blir ein heil ettermiddag med uverna trafikk.

Vit kva klienten din faktisk implementerer. OpenVPN Connect på macOS dokumenterer captive portal-deteksjon skilt frå alternativet som blokkerer internettilgang medan VPN-en er sett på pause eller koblar til på nytt. Å oppdage ein portal og å tillate trafikken hans er skylde oppgåver, ikkje utskiftbare løfte.

På ei administrert eining følgjer du den konfigurerte opptaksprosessen i staden for å finne på eit unntak.

Kva gapet avdekkjer, og for kven

Det interessante med dødlåsen er ikkje nettlesarfana framfor deg. Det er alt anna som byrjar å bruke nettverket i det augneblinken tilknytinga dukkar opp: e-post, fotosynk, oppdateringssjekkar, ein chatklient som koblar til på nytt, ein tryggleikskopiagent som held fram.

Eit stille nettlesarvindauge seier deg ingenting om dette. Lat att eller set følsamt arbeid på pause før kvart tillatne intervall med direkte tilgang, og sjekk kva som køyrer ved pålogging. På Android er alltid på-VPN kombinert med blokkering av tilknytingar utanfor VPN-en den relevante kontrollen, og eit vilkårleg ruteunntak er inga erstatning for å forstå han.

Dette er det einaste staden der det eldre rådet om mellombelse tilgangsvindauge framleis held. Bekymringa var riktig også der mekanismen ikkje var det.

Korleis velje og korleis stadfeste det

Vel alternativ A når eininga eller klienten støttar ein ekte portalflyt, fordi det held blokkeringa intakt heile vegen. Vel alternativ B når portalen ikkje kan nåast på annan måte, og handsam unntaket som ei tidsavgrensa endring med ein eigar.

Stadfest deretter rekkjefølgja i staden for resultatet:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Fullfør opptaket, etabler den tiltenkte profilen, gjenopprett kva som helst mellombels endra blokkeringskontroll, og gjer deretter ein ny ufarleg førespurnad og stadfest at han følgjer tunnelen. Ein førespurnad som lykkast fordi blokkeringa framleis er av, bevisar ingenting om tunnelen.

Å byte VPN-utgang fornyar ikkje ein utlopen hotellsession. Det er ulike hendingar, og å blande dei sender deg til å leite på feil stad.