Проверьте точку доступа, прежде чем подпускать к ней рабочие учётные данные

Точка доступа выдаёт адрес раньше, чем выдаёт интернет, и доверие решается именно в этом промежутке. Устройство ассоциируется, запрашивает адрес, и затем каждый исходящий запрос перехватывается, пока портал не сообщит, что сеанс авторизован. Этот механизм объясняет, почему страница может выглядеть загружающейся, хотя настоящего соединения нет. Проверьте промежуток чем-нибудь безобидным, прежде чем его коснутся какие-либо рабочие учётные данные.

Что точка доступа делает с вашим первым запросом

Ассоциация даёт устройству канал связи, а DHCP выдаёт ему адрес, шлюз и обычно DNS-сервер, принадлежащий заведению. Пока авторизация не завершена, шлюз отбрасывает или перенаправляет исходящий трафик, и многие порталы отвечают на DNS для любого имени своим адресом. Поэтому поиск выглядит успешным: ответ — это портал, а не запрошенный сайт. Сеть ведёт себя так, как задумано; просто это ещё не интернет.

Первый запрос HTTP обычно получает перенаправление на портал, которое операционная система может открыть за вас. HTTPS так перенаправить нельзя, поэтому он либо падает, либо зависает, и браузер показывает ошибку сертификата или тайм-аут. Разница диагностична: перенаправление HTTP — это говорит портал, а сбой TLS к постороннему хосту — нечто иное. Огороженный сад, где несколько доменов пропускаются для оплаты или входа, даёт третий образец.

Подтвердите сеть, прежде чем входить

Подтвердите SSID и способ входа у заведения по каналу, который не является самой сетью. Портал, который требует корпоративный пароль, номер карты и адрес электронной почты делает три разные вещи, и только две последние обычны для гостевого доступа. Предпочитайте приглашение о captive-портале от операционной системы: оно распознаёт перенаправление по известной конечной точке, а не доверяет любой появившейся странице. Если заведение не может описать собственный портал, это повод подождать, а не импровизировать.

Предупреждение о сертификате при входе на портал не является шагом, который пролистывают кликом. Порталу не нужно выдавать себя за посторонний хост, чтобы аутентифицировать вас.

Выполните самую малую проверку, доказывающую доступ

Завершите законную авторизацию, затем запросите одну обычную публичную страницу HTTPS, которую вы раньше не загружали, чтобы ответ не мог прийти из кэша. Запишите, что именно не удалось, если не удастся: поиск имени, тайм-аут соединения, ошибка сертификата или отказ службы. Эти четыре относятся к разным уровням, и их запись мешает следующему человеку проверять заново на ощупь. Затем подключите предполагаемый VPN и запросите один ресурс, который его требует.

Держите проверку маленькой. Загрузка теста скорости на лимитированном доступе отвечает на вопрос, который никто не задавал, и может стоить пользователю денег. Ответ с заголовками достаточен, чтобы доказать достижимость, и он не тянет мегабайты через канал, который считает трафик по гигабайтам.

Если обычный доступ работает, а туннель нет, это другое расследование, чем сеть, которая никого не авторизовала. Держите два результата раздельно, вместо того чтобы менять несколько настроек приватности сразу.

Держите личную работу вне сравнения

Каждое приложение на устройстве — потенциальный наблюдатель, а captive-портал — это момент, когда все они пытаются достучаться до своих серверов. Закройте те, что можете, и относитесь к управляемому устройству, которое всегда включено, как к вопросу политики, а не техники: используйте одобренный метод для сравнения, вместо того чтобы убирать защиту, которая делает его управляемым. Если устройство полностью запрещает трафик вне туннеля, выполните проверку на другом, нечувствительном устройстве. Смысл упражнения — узнать о сети, не раскрывая ей учётные данные.

Не перехватывайте чужой трафик, чтобы диагностировать заведение, и держите любую диагностическую запись в пределах своего устройства и сеанса. Проверьте поля адреса и идентификатора, прежде чем прикладывать запись к заявке, потому что сеть заведения — не ваш шкаф с доказательствами.

Решите, что результат позволяет вам делать

Возможны три исхода: полный доступ с работающим туннелем, доступ только к порталу с неработающим туннелем или полное отсутствие доступа. У каждого свой следующий шаг, и ценность проверки в том, чтобы знать, в каком вы находитесь, прежде чем менять настройки. Полный доступ означает, что работа может продолжаться через туннель; доступ только к порталу говорит о том, что порт или протокол туннеля заблокированы, поэтому ответ — другой транспорт или сеть; отсутствие доступа означает, что заведение сегодня не может обеспечить задачу. Устройство, которое всегда пробует только один протокол, не может их различить.

Запишите SSID, исход и время, чтобы следующий человек в том же заведении начал с доказательств. руководство по captive-сетям Apple описывает поведение обнаружения за приглашением, и это та часть, которую стоит понять, прежде чем винить VPN.