Portal cativo e VPN em impasse: quem se move primeiro

O portal do hotel quer um navegador antes de liberar qualquer tráfego. Sua VPN se recusa a passar tráfego antes que o túnel esteja ativo. Cada lado espera pelo outro, e ambos se comportam exatamente como foram configurados. Apenas duas ordens quebram esse impasse, e elas diferem no que expõem enquanto a janela está aberta. Escolha uma deliberadamente em vez de alternar qualquer configuração que faça o navegador carregar.

Duas ordens, e uma delas funciona

Ou a rede admite você primeiro e o túnel vem depois, ou você abre uma exceção estreita para o portal e restaura o bloqueio em seguida. Ambas são legítimas. O que não é legítimo é desativar o bloqueio e esquecer de reativá-lo.

As duas ordens não são igualmente boas em todas as situações. Um dispositivo gerenciado com um processo de admissão obrigatório tem uma resposta, e um notebook pessoal no Wi-Fi do hotel tem outra. A comparação é sobre o que cada opção abre mão.

Comece sabendo qual delas seu cliente e a política do dispositivo realmente suportam.

Opção A: admitir a rede, depois conectar o túnel

Confirme o nome esperado da rede e use a solicitação de login do sistema operacional ou o fluxo de portal cativo suportado pelo cliente. No iPhone e no iPad, dispensar a folha de login pode derrubar a associação ou mantê-la com um aviso de que a rede não tem internet, e esses são pontos de partida diferentes. Conclua primeiro a etapa de admissão e depois suba o túnel. Essa ordem mantém o bloqueio intacto durante todo o tempo em que o túnel está fora.

A pegadinha é que um portal que autoriza acesso à internet não autenticou sua conta de VPN. O túnel ainda precisa conectar depois, e pode falhar por motivos próprios. Admissão e autenticação são eventos separados que as pessoas fundem em um só.

Se a admissão continuar expirando, observe se o portal pede novamente, se a rede cai ou se apenas a VPN falha.

Opção B: uma exceção estreita de login, depois restaurar o bloqueio

A alternativa é permitir o tráfego do portal enquanto o bloqueio permanece em vigor no restante, fazer login e então remover a exceção. A exceção precisa ser estreita: um destino ou uma faixa de endereços, pela duração do login, com o bloqueio restaurado imediatamente depois. Uma janela temporária ampla é como um login de dois minutos se torna uma tarde de tráfego desprotegido.

Saiba o que seu cliente realmente implementa. O OpenVPN Connect no macOS documenta a detecção de portal cativo separadamente da opção que bloqueia o acesso à internet enquanto a VPN está pausada ou reconectando. Detectar um portal e permitir seu tráfego são tarefas relacionadas, não promessas intercambiáveis.

Em um dispositivo gerenciado, siga o processo de admissão configurado em vez de inventar uma exceção.

O que a janela expõe, e a quem

A parte interessante do impasse não é a aba do navegador à sua frente. É todo o resto que começa a usar a rede no momento em que a conectividade aparece: e-mail, sincronização de fotos, verificações de atualização, um cliente de chat reconectando, um agente de backup retomando.

Uma janela de navegador silenciosa não diz nada sobre isso. Feche ou pause trabalho sensível antes de qualquer intervalo de acesso direto permitido, e verifique o que roda no login. No Android, a VPN always-on combinada com o bloqueio de conexões fora da VPN é o controle relevante, e uma exceção de rota arbitrária não substitui entender isso.

Este é o único ponto em que os conselhos antigos sobre janelas de acesso temporário ainda valem. A preocupação estava certa mesmo onde o mecanismo não estava.

Como escolher e como confirmar

Escolha a Opção A quando o dispositivo ou o cliente suporta um fluxo de portal real, porque mantém o bloqueio intacto o tempo todo. Escolha a Opção B quando o portal não puder ser alcançado de outra forma, e trate a exceção como uma mudança temporária com um responsável.

Depois confirme a sequência, não o resultado:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Conclua a admissão, estabeleça o perfil pretendido, restaure qualquer controle de bloqueio alterado temporariamente e então faça uma nova solicitação inofensiva e confirme que ela segue o túnel. Uma solicitação que funciona porque o bloqueio ainda está desligado não prova nada sobre o túnel.

Trocar a saída da VPN não renovará uma sessão de hotel expirada. São eventos diferentes, e confundi-los faz você procurar no lugar errado.