Odvojite prijave na Wi-Fi portal od VPN prijava
Dva različita sistema traže prijavu: Wi-Fi objekta i vaš VPN pristupnik. Na ekranu izgledaju isto, a odobravaju posve različite stvari. Pitajte pri svakom prozoru: ko zaista može provjeriti ovu tajnu?
Dva različita sistema traže da se prijavite prije nego što dođete do bilo čega korisnog na javnoj mreži: Wi-Fi objekta i vaš VPN pristupnik. Na ekranu izgledaju isto i odobravaju posve različite stvari. Portal odlučuje smije li ovaj uređaj koristiti lokalnu mrežu; VPN odlučuje smijete li dosegnuti privatnu mrežu negdje drugdje. Držim ih odvojeno tako što svakom prozoru postavim jedno pitanje: ko zaista može provjeriti ovu tajnu? Slijedi kontrolna lista koju prolazim u hotelima, na aerodromima i na konferencijama, uključujući mjesta na kojima prestajem tipkati.
Povežite svaku prijavu s uslugom koja je provjerava
Jedna hotelska veza može uključivati četiri odvojene provjere, a samo neke traže vaš unos. Prvo ih poredajte, jer ekran rijetko kaže kojoj fazi pripada.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X mreže, česte u uredima i na univerzitetima, zamućuju prva dva reda. Tamo je Wi-Fi prijava sama po sebi provjera identiteta prema RADIUS serveru, a klijent može predstaviti usmjeravajući identitet dok pravi račun putuje unutar šifrirane razmjene. Čak i tada provjera se odnosi na pridruživanje mreži; ona ne odobrava tunel, a VPN pristupnik je ne prihvata kao dokaz bilo čega.
Redoslijed je važniji od oznaka. Captive portali postoje jer se pristup može dodijeliti nakon pridruživanja, zato objekat može stranicu predati specijalizovanom pružaocu. RFC 8952 IETF-a tretira portal kao vlastitu komponentu, pa je nepoznata domena razlog za provjeru, a ne dokaz prevare sam po sebi. Uporedite domenu s pisanim uputstvima objekta, a polja s tabelom.
Provjerite šta portal smije tražiti
Polja portala tiču se prava, ne identiteta: broj sobe, prezime s rezervacije, kod vaučera, kod otisnut na omotu ključa, e-pošta za vremenski ograničenu propusnicu, prihvatanje uslova. Objekat već zna ko je rezervisao sobu, pa može upariti te činjenice a da ne sazna ništa što bi mu omogućilo da drugdje djeluje kao vi.
Sve izvan tog spiska zaslužuje pauzu. Stranica hotspot-a ne može provjeriti vašu lozinku domene, a ni jednokratni kod za VPN, kod za oporavak ili privatni ključ ne može provjeriti, i nema razloga da ih traži. Jedini legitimni izuzetak je mreža koju vodi organizacija: gostujući SSID u uredu ili Wi-Fi na konferenciji može vas predati pružaocu identiteta koji već koristite za posao. Ipak se razlikuje: host za prijavu je vaš svakodnevni, ekran saglasnosti imenuje vašeg tenanta, a tok se otvara u vidljivoj kartici preglednika.
Marketinška e-pošta je odvojena: putni alias zadovoljava polje bez predaje radnog identiteta.
Provjerite da VPN klijent traži sopstvene akreditive
Klijent traži tačno ono za šta je njegov profil konfigurisan, pa je očekivani prozor svojstvo profila, a ne mreže na kojoj se slučajno nalazite. Profili sa certifikatom obično pokažu izbor profila, a zatim se povežu tiho. Profili s korisničkim imenom i lozinkom traže oboje, često s jednokratnim kodom. SSO profili otvaraju vaš preglednik prema pružaocu identiteta i vraćaju se s tokenom. WireGuard je opet drukčiji: autentifikuje uređaje javnim ključem i nema korisničku prijavu, pa prozor koji nudi WireGuard korisničko ime i lozinku ne opisuje WireGuard.
Pročitajte profil prije puta. U OpenVPN auth-user-pass vam kaže da se očekuje upit za lozinku, dok cert, key ili pkcs12 znači da bi certifikat trebao obaviti posao. Ako profil koji se obično povezuje bez upita iznenada traži lozinku, posumnjajte na profil koji nije uspio učitati certifikat ili se vratio na drugu metodu. Upit nije poziv da upišete svoju radnu lozinku u bilo koji prozor koji se pojavio.
Nijedan legitiman VPN klijent ne traži broj sobe, portalni vaučer ili Wi-Fi lozinku kao ulaz za autentifikaciju. Kada se to dogodi, ili klijent nije ono što tvrdi, ili captive portal presreće saobraćaj prije nego što se tunel formira i vi čitate HTML stranicu stilizovanu kao prijava.
Zaustavite se na ovih pet uslova
To su tačke na kojima se zaustavljam umjesto da nastavim s uvjerljivim zaobilaznim rješenjem. Svaku je jeftino provjeriti i skupo pogriješiti.
- Na portalu ili na SSO stranici pojavi se upozorenje o sertifikatu ili TLS. Ne prelazite preko njega da biste stigli do mreže.
- Stranica traži tajnu koju samo VPN pristupnik ili pružalac identiteta može provjeriti: lozinku domene, jednokratni kod, kod za oporavak, privatni ključ.
- Domena se ne poklapa s otisnutim uputstvima objekta ili s hostom za prijavu koji vaša organizacija dokumentuje za svoje usluge.
- Od vas se traži da instalirate korijenski sertifikat, konfiguracijski profil ili pomoćnu aplikaciju koja ne dolazi iz vašeg upravljanja uređajima.
- Stigne odobrenje MFA koje niste pokrenuli, ili VPN klijent traži hotelske akreditive.
Rezervni put nije druga lozinka. Koristite hotspot s telefona, pitajte recepciju za tačan naziv mreže i način pristupa i prijavite stranicu onome ko upravlja mrežom ili vašem IT odjelu. Ništa od toga ne zahtijeva testiranje akreditiva na stranici kojoj ne možete pripisati porijeklo.
Pripisati neuspjeh pravoj fazi
Kada obje faze prođu, neuspjesi se i dalje događaju, a greška obično imenuje fazu ako je čitate po redu: pridruživanje, dodjela adrese, autorizacija portala, uspostavljanje tunela, pa interni resurs. Mijenjanje VPN lozinke jer je kod portala istekao troši vrijeme i ostavlja pravi problem na mjestu.
Nekoliko proba razdvaja faze. Nakon prijave na portal, zatražite običnu javnu HTTPS stranicu. Ako se umjesto nje vrati portal, autorizacija nikada nije završena na tom sloju. Ako VPN klijent javi da ne može doći do pristupnika, problem je ispod tunela: sesija portala, razrješavanje imena ili mreža koja blokira port. Ako se tunel podigne a jedno interno ime hosta ne uspije, razrješavanje imena ili politika unutar privatne mreže je bolji osumnjičeni.
Sesije portala takođe ističu nezavisno od tunela. Kada objekat opozove pristup, uspostavljena VPN veza padne iako njeni akreditivi nikada nisu bili pogrešni. Ponovo autorizujte portal, zatim ponovo povežite VPN i pustite ga da ponovo pregovara. Rotiranje VPN lozinke tada ništa ne popravlja i može vas zaključati.
Dajte svaku tajnu samo sistemu koji je može provjeriti i tretirajte upit koji se ne uklapa u tabelu kao znak za stop, a ne kao korak koji treba zaobići. Ako obje faze prođu a tunel i dalje odbija, zabilježite tačnu grešku klijenta prije nego što promijenite bilo koje akreditive.