Ndani hyrjet në portalin Wi-Fi nga hyrjet në VPN
Dy sisteme të ndryshme kërkojnë të njëjtën gjë: një hyrje. Portali kontrollon aksesin lokal, VPN-i aksesin në një rrjet privat. Pyetni në çdo dritare se kush mund ta verifikojë vërtet këtë sekret.
Dy sisteme të ndryshme ju kërkojnë të hyni përpara se të arrini diçka të dobishme në një rrjet publik: Wi-Fi i vendit dhe porta juaj VPN. Duken njësoj në ekran dhe autorizojnë gjëra krejt të ndryshme. Portali vendos nëse kjo pajisje mund të përdorë rrjetin lokal; VPN-i vendos nëse mund të arrini një rrjet privat diku tjetër. I mbaj të ndara duke bërë një pyetje në çdo dritare: kush mund ta verifikojë vërtet këtë sekret? Më poshtë është lista e kontrollit që zbatoj në hotele, aeroporte dhe qendra konferencash, duke përfshirë pikat ku ndaloj së shkruari.
Lidhni çdo hyrje me shërbimin që e kontrollon
Një lidhje e vetme hoteli mund të përfshijë katër kontrolle të veçanta, dhe vetëm disa prej tyre kërkojnë kontributin tuaj. Fillimisht vendosini në radhë, sepse ekrani rrallë thotë se cilës fazë i përket.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Rrjetet 802.1X, të zakonshme në zyra dhe universitete, i turbullojnë dy rreshtat e parë. Atje hyrja në Wi-Fi është vetë një kontroll identiteti ndaj një serveri RADIUS, dhe klienti mund të paraqesë një identitet rrugëtimi ndërsa llogaria e vërtetë udhëton brenda shkëmbimit të kriptuar. Edhe atëherë kontrolli ka të bëjë me bashkimin me rrjetin; nuk autorizon tunelin, dhe porta VPN nuk e pranon si provë për asgjë.
Rendi ka më shumë rëndësi se etiketat. Portalet captive ekzistojnë sepse aksesi mund të jepet pas asociimit, prandaj një vend mund t'ia dorëzojë faqen një ofruesi të specializuar. RFC 8952 i IETF e trajton portalin si komponent të vetin, pra një domen i panjohur është arsye për verifikim, jo provë mashtrimi në vetvete. Krahasoni domenin me udhëzimet e shkruara të vendit, dhe fushat me tabelën.
Kontrolloni çfarë mund të kërkojë një portal
Fushat e portalit kanë të bëjnë me të drejtën, jo me identitetin: numri i dhomës, mbiemri i rezervimit, kodi i voucherit, kodi i printuar në kapakun e çelësit, një email për një leje të përkohshme, pranimi i kushteve. Vendi tashmë e di kush e rezervoi dhomën, prandaj mund t'i përputhë këto fakte pa mësuar asgjë që do t'i mundësonte të vepronte si ju diku tjetër.
Çdo gjë përtej kësaj liste meriton një pauzë. Një faqe hotspot nuk mund të verifikojë fjalëkalimin tuaj të domenit, dhe as ajo nuk mund të verifikojë kodin tuaj njëpërdorimsh të VPN, një kod rikuperimi ose një çelës privat, dhe nuk ka arsye t'i dojë ato. Përjashtimi i vetëm i ligjshëm është një rrjet i administruar nga një organizatë: një SSID mysafirësh zyre ose një Wi-Fi konference mund t'ju dërgojnë te ofruesi i identitetit që tashmë e përdorni për punë. Mbetet e dallueshme: hosti i hyrjes është ai i përditshmi, ekrani i pëlqimit emërton qiramarrësin tuaj, dhe fluksi hapet në një skedë të dukshme shfletuesi.
Email-i i marketingut është i veçantë: një alias udhëtimi e plotëson fushën pa dhënë identitetin tuaj të punës.
Kontrolloni nëse klienti VPN kërkon kredencialet e veta
Klienti kërkon saktësisht atë për të cilën është konfiguruar profili i tij, prandaj dritarja e pritur është veti e profilit, jo e rrjetit ku ndodheni. Profilet e certifikatës zakonisht shfaqin një zgjedhje profili dhe pastaj lidhen në heshtje. Profilet e emrit të përdoruesit dhe fjalëkalimit kërkojnë të dyja, shpesh me një kod njëpërdorimsh. Profilet SSO hapin shfletuesin te ofruesi i identitetit dhe kthehen me një token. WireGuard është përsëri ndryshe: autentikon pajisjet me çelës publik dhe nuk ka hyrje përdoruesi, prandaj një dritare që ofron emrin e përdoruesit dhe fjalëkalimin e WireGuard nuk e përshkruan WireGuard.
Lexoni profilin përpara se të udhëtoni. Në OpenVPN, auth-user-pass ju tregon se pritet një kërkesë për fjalëkalim, ndërsa cert, key ose pkcs12 do të thotë që një certifikatë duhet ta bëjë punën. Nëse një profil që zakonisht lidhet pa kërkesë kërkon papritur fjalëkalim, dyshoni një profil që nuk arriti të ngarkojë certifikatën ose ra në një metodë tjetër. Kërkesa nuk është ftesë për të shkruar fjalëkalimin e punës në çdo dritare që u shfaq.
Asnjë klient VPN i ligjshëm nuk kërkon numrin e dhomës, voucherin e portalit ose frazën e fjalëkalimit të Wi-Fi si input autentikimi. Kur kjo ndodh, ose klienti nuk është ai që pretendon, ose një portal captive po ndërpret trafikun përpara se të formohet tuneli dhe ju po lexoni një faqe HTML të stilizuar si hyrje.
Ndaloni në këto pesë kushte
Këto janë pikat ku ndalem në vend që të vazhdoj me një shmangie të besueshme. Secila është e lirë për t'u kontrolluar dhe e shtrenjtë për t'u gabuar.
- Një paralajmërim certifikate ose TLS shfaqet në portal ose në faqen SSO. Mos e kaloni duke klikuar për të arritur rrjetin.
- Faqja kërkon një sekret që vetëm porta VPN ose ofruesi i identitetit mund ta verifikojë: fjalëkalim domeni, kod njëpërdorimsh, kod rikuperimi, çelës privat.
- Domeni nuk përputhet me udhëzimet e shtypura të vendit ose me hostin e hyrjes që organizata juaj dokumenton për shërbimet e veta.
- Kërkohet të instaloni një certifikatë rrënjë, një profil konfigurimi ose një aplikacion ndihmës që nuk vjen nga menaxhimi i pajisjeve tuaja.
- Mbërrin një miratim MFA që nuk e keni nisur, ose klienti VPN kërkon kredenciale hoteli.
Alternativa nuk është një fjalëkalim tjetër. Përdorni një hotspot telefoni, pyesni recepsionin për emrin e saktë të rrjetit dhe metodën e aksesit, dhe raportoni faqen atij që menaxhon rrjetin ose tavolinës tuaj të IT-së. Asnjë prej këtyre nuk kërkon testimin e një kredenciali kundër një faqeje që nuk mund t'ia atribuoni.
Atribuoni një dështim fazës së duhur
Pasi kalojnë të dyja fazat, dështimet ndodhin gjithsesi, dhe gabimi zakonisht emërton fazën nëse lexohet me radhë: asociimi, caktimi i adresës, autorizimi i portalit, krijimi i tunelit, pastaj burimi i brendshëm. Ndryshimi i fjalëkalimit të VPN sepse skadoi një kod portali humb kohë dhe e lë problemin e vërtetë në vend.
Disa prova i ndajnë fazat. Pas hyrjes në portal, kërkoni një faqe HTTPS publike të zakonshme. Nëse kthehet portali në vend të saj, autorizimi nuk u përfundua kurrë në atë shtresë. Nëse klienti VPN raporton se nuk arrin portën, problemi është nën tunel: sesioni i portalit, zgjidhja e emrave ose një rrjet që bllokon portën. Nëse tuneli ngrihet dhe një emër hosti i brendshëm dështon, zgjidhja e emrave ose politika brenda rrjetit privat është dyshimi më i mirë.
Sesionet e portalit skadojnë gjithashtu pavarësisht nga tuneli. Kur vendi revokon aksesin, një lidhje VPN e vendosur bie edhe pse kredencialet e saj nuk ishin kurrë të gabuara. Autorizoni përsëri portalin, pastaj rilidhni VPN-in dhe lëreni të rinegociojë. Rrotullimi i fjalëkalimit të VPN atëherë nuk rregullon asgjë dhe mund t'ju bllokojë jashtë.
Jepni çdo sekret vetëm sistemit që mund ta verifikojë, dhe trajtoni një kërkesë që nuk përputhet me tabelën si shenjë ndalimi, jo si hap për t'u anashkaluar. Nëse të dyja fazat kalojnë dhe tuneli refuzon ende, regjistroni gabimin e saktë të klientit përpara se të ndryshoni ndonjë kredencial.