Captive portal i VPN u zastoju: tko se pomakne prvi
Hotelski portal traži promet prije nego tunel postoji; VPN blokira dok tunel nije podignut. Usporedite dva redoslijeda i što svaki od njih otkriva u praznini.
Hotelski portal želi vidjeti preglednik prije nego propusti bilo kakav promet. Vaš VPN odbija propustiti promet dok mu tunel nije podignut. Svaka strana čeka onu drugu i obje se ponašaju točno onako kako su konfigurirane. Taj zastoj prekidaju samo dva redoslijeda i razlikuju se po tome što otkrivaju dok je praznina otvorena. Odaberite jedan namjerno umjesto da prekapčate bilo koju postavku nakon koje se preglednik učita.
Dva redoslijeda, jedan od njih radi
Ili vas mreža prva primi i tunel dođe drugi, ili otvorite usku iznimku za portal i zatim vratite blokadu. Oba su legitimna. Nije legitimno isključiti blokadu i zaboraviti je vratiti.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
Dva redoslijeda nisu jednako dobra u svakoj situaciji. Upravljani uređaj s obveznim postupkom prijama ima jedan odgovor, a osobni prijenosnik na hotelskom Wi-Fi-ju drugi. Usporedba je o tome čemu se svaka opcija odriče.
Počnite time da znate koje od njih vaš klijent i politika uređaja doista podržavaju.
Opcija A: primite mrežu, zatim spojite tunel
Potvrdite očekivani naziv mreže, zatim upotrijebite zahtjev za prijavu operacijskog sustava ili tijek captive portala koji klijent podržava. Na iPhoneu i iPadu zatvaranje prijavnog lista može ili prekinuti pridruživanje ili ga zadržati uz upozorenje da mreža nema internet, a to su različita polazišta. Najprije dovršite korak prijama, zatim podignite tunel. Taj redoslijed održava blokadu netaknutom cijelo vrijeme dok je tunel dolje.
Kvaka je u tome što portal koji odobrava pristup internetu nije provjerio vaš VPN račun. Tunel se ipak mora spojiti nakon toga i može zakazati iz vlastitih razloga. Prijam i provjera identiteta odvojeni su događaji koje ljudi stapaju u jedan.
Ako prijam stalno istječe, zabilježite traži li portal ponovno, pada li mreža ili zatajuje samo VPN.
Opcija B: uska iznimka za prijavu, zatim vraćanje blokade
Alternativa je dopustiti promet portala dok blokada inače vrijedi, prijaviti se i zatim ukloniti iznimku. Iznimka mora biti uska: jedno odredište ili jedan raspon adresa, na vrijeme prijave, s blokadom vraćenom odmah nakon toga. Širok privremen prozor način je na koji dvominutna prijava postane cijelo poslijepodne nezaštićenog prometa.
Znajte što vaš klijent doista implementira. OpenVPN Connect na macOS-u dokumentira otkrivanje captive portala odvojeno od svoje opcije koja blokira pristup internetu dok je VPN pauziran ili se ponovno spaja. Otkriti portal i dopustiti njegov promet povezani su zadaci, a ne zamjenjiva obećanja.
Na upravljanom uređaju slijedite konfigurirani postupak prijama umjesto da izmišljate iznimku.
Što praznina otkriva i kome
Zanimljiv dio zastoja nije kartica preglednika pred vama. To je sve ostalo što počinje koristiti mrežu u trenutku kad se pojavi povezanost: pošta, sinkronizacija fotografija, provjere ažuriranja, klijent za razgovor koji se ponovno spaja, agent za sigurnosne kopije koji nastavlja.
Tiho okno preglednika ne govori vam ništa o tome. Zatvorite ili pauzirajte osjetljiv posao prije svakog dopuštenog intervala izravnog pristupa i provjerite što se pokreće pri prijavi. Na Androidu stalno uključen VPN u kombinaciji s blokiranjem veza izvan VPN-a relevantna je kontrola, a proizvoljna iznimka u ruti ne zamjenjuje razumijevanje toga.
To je jedino mjesto gdje stari savjet o privremenim prozorima pristupa još vrijedi. Zabrinutost je bila ispravna i ondje gdje mehanizam nije bio.
Kako odabrati i kako to potvrditi
Odaberite opciju A kad uređaj ili klijent podržava pravi tijek portala, jer ona održava blokadu netaknutom cijelo vrijeme. Odaberite opciju B kad se do portala ne može doći na drugi način i tretirajte iznimku kao vremenski ograničenu promjenu s odgovornom osobom.
Zatim potvrdite slijed, a ne ishod:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Dovršite prijam, uspostavite željeni profil, vratite svaku privremeno promijenjenu kontrolu blokiranja, a zatim uputite nov, bezopasan zahtjev i potvrdite da ide kroz tunel. Zahtjev koji uspije zato što je blokada još isključena ne dokazuje ništa o tunelu.
Promjena VPN izlaza neće obnoviti isteklu hotelsku sesiju. To su različiti događaji i njihovo miješanje šalje vas tražiti na pogrešnom mjestu.