Portal captive i VPN w impasie: kto rusza pierwszy

Portal hotelu chce zobaczyć przeglądarkę, zanim przepuści jakikolwiek ruch. Twoja VPN odmawia przepuszczania ruchu, dopóki jej tunel nie jest gotowy. Każda strona czeka na drugą i obie zachowują się dokładnie tak, jak je skonfigurowano. Ten impas przełamują tylko dwa porządki, a różnią się tym, co odsłaniają, gdy luka pozostaje otwarta. Wybierz jeden świadomie, zamiast przełączać dowolne ustawienie, po którym przeglądarka się wczytuje.

Dwa porządki, z których jeden działa

Albo sieć najpierw cię dopuszcza, a tunel przychodzi potem, albo otwierasz wąski wyjątek dla portalu i później przywracasz blokadę. Oba są zasadne. Niezasadne jest wyłączenie blokady i zapomnienie o jej przywróceniu.

Te dwa porządki nie są równie dobre w każdej sytuacji. Urządzenie zarządzane z obowiązkową procedurą dopuszczenia ma jedną odpowiedź, a prywatny laptop w hotelowym Wi-Fi inną. Porównanie dotyczy tego, z czego każda opcja rezygnuje.

Zacznij od wiedzy, którą z nich naprawdę obsługują twój klient i polityka urządzenia.

Opcja A: dopuść sieć, potem połącz tunel

Potwierdź oczekiwaną nazwę sieci, a następnie użyj prośby o zalogowanie systemu operacyjnego albo obsługiwanego przez klienta przepływu captive portal. Na iPhone i iPad zamknięcie arkusza logowania może albo zerwać połączenie z siecią, albo je zachować z ostrzeżeniem, że sieć nie ma internetu, i to są różne punkty startu. Najpierw zakończ etap dopuszczenia, potem podnieś tunel. Ten porządek utrzymuje blokadę nienaruszoną przez cały czas, gdy tunel jest wyłączony.

Haczyk polega na tym, że portal, który autoryzuje dostęp do internetu, nie uwierzytelnił twojego konta VPN. Tunel i tak musi się potem połączyć i może zawieść z własnych powodów. Dopuszczenie i uwierzytelnienie to osobne zdarzenia, które ludzie zlewają w jedno.

Jeśli dopuszczenie wciąż wygasa, zanotuj, czy portal pyta ponownie, czy sieć się zrywa, czy zawodzi tylko VPN.

Opcja B: wąski wyjątek na logowanie, potem przywrócenie blokady

Alternatywą jest przepuszczenie ruchu portalu, gdy blokada poza tym obowiązuje, zalogowanie się i usunięcie wyjątku. Wyjątek musi być wąski: jedno miejsce docelowe albo jeden zakres adresów, na czas logowania, z natychmiastowym przywróceniem blokady. Szerokie tymczasowe okno to sposób, w jaki dwuminutowe logowanie zamienia się w całe popołudnie niechronionego ruchu.

Wiedz, co twój klient naprawdę implementuje. OpenVPN Connect na macOS dokumentuje wykrywanie captive portal osobno od opcji blokującej dostęp do internetu, gdy VPN jest wstrzymany lub się przełącza. Wykrycie portalu i przepuszczenie jego ruchu to powiązane zadania, a nie wymienne obietnice.

Na urządzeniu zarządzanym podążaj za skonfigurowaną procedurą dopuszczenia, zamiast wymyślać wyjątek.

Co odsłania luka i komu

Ciekawe w tym impasie nie jest karta przeglądarki przed tobą. Jest nim wszystko inne, co zaczyna używać sieci w chwili pojawienia się łączności: poczta, synchronizacja zdjęć, sprawdzanie aktualizacji, klient czatu łączący się ponownie, agent kopii zapasowej wznawiający pracę.

Ciche okno przeglądarki nic o tym nie mówi. Zamknij lub wstrzymaj wrażliwą pracę przed każdym dozwolonym przedziałem bezpośredniego dostępu i sprawdź, co uruchamia się przy logowaniu. Na Androidzie stała VPN (always-on) połączona z blokowaniem połączeń poza VPN to właściwa kontrola, a dowolny wyjątek w trasie nie zastępuje zrozumienia jej działania.

To jedyne miejsce, w którym stara rada o tymczasowych oknach dostępu wciąż się broni. Niepokój był słuszny, nawet gdy mechanizm nie był.

Jak wybrać i jak to potwierdzić

Wybierz opcję A, gdy urządzenie lub klient obsługuje prawdziwy przepływ portalu, bo utrzymuje blokadę przez cały czas. Wybierz opcję B, gdy do portalu nie da się dotrzeć inaczej, i traktuj wyjątek jako zmianę ograniczoną czasowo, z osobą odpowiedzialną.

Potem potwierdź kolejność, a nie wynik:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Zakończ dopuszczenie, ustanów zamierzony profil, przywróć każdą tymczasowo zmienioną kontrolę blokowania, a następnie wykonaj nowe, nieszkodliwe żądanie i potwierdź, że idzie przez tunel. Żądanie, które się udaje, bo blokada jest wciąż wyłączona, niczego nie dowodzi o tunelu.

Zmiana wyjścia VPN nie odnowi wygasłej sesji hotelowej. To różne zdarzenia, a mieszanie ich sprawia, że szukasz w złym miejscu.