Captive портал и VPN у застоју: ко се први покрене
Хотелски портал тражи саобраћај пре него што тунел постоји; VPN блокира док тунел није подигнут. Упоредите два редоследа и шта сваки од њих открива у празнини.
Хотелски портал жели да види прегледач пре него што пропусти било какав саобраћај. Ваш VPN одбија да пропусти саобраћај док његов тунел није подигнут. Свака страна чека ону другу и обе се понашају тачно онако како су конфигурисане. Тај застој прекидају само два редоследа и разликују се по томе шта откривају док је празнина отворена. Изаберите један намерно уместо да пребацујете било коју поставку после које се прегледач учита.
Два редоследа, један од њих ради
Или вас мрежа прва прими и тунел дође други, или отворите уску изнимку за портал и затим вратите блокаду. Оба су легитимна. Није легитимно искључити блокаду и заборавити да је вратите.
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
Два редоследа нису једнако добра у свакој ситуацији. Управљани уређај са обавезним поступком пријема има један одговор, а лични преносни рачунар на хотелском Wi-Fi-ју други. Поређење је о томе чега се свака опција одриче.
Почните тиме да знате које од њих ваш клијент и политика уређаја заиста подржавају.
Опција А: примите мрежу, затим повежите тунел
Потврдите очекивани назив мреже, затим употребите захтев за пријаву оперативног система или ток captive портала који клијент подржава. На iPhone-у и iPad-у затварање пријавног листа може или да прекине придруживање или да га задржи уз упозорење да мрежа нема интернет, а то су различита полазишта. Најпре довршите корак пријема, затим подигните тунел. Тај редослед одржава блокаду нетакнутом све време док је тунел доле.
Квака је у томе што портал који одобрава приступ интернету није проверио ваш VPN налог. Тунел ипак мора да се повеже након тога и може да закаже из сопствених разлога. Пријем и провера идентитета су одвојени догађаји које људи спајају у један.
Ако пријем стално истиче, забележите да ли портал поново тражи, да ли мрежа пада или заказује само VPN.
Опција Б: уска изнимка за пријаву, затим враћање блокаде
Алтернатива је дозволити саобраћај портала док блокада иначе важи, пријавити се и затим уклонити изнимку. Изнимка мора бити уска: једно одредиште или један распон адреса, на време пријаве, са блокадом враћеном одмах након тога. Широк привремени прозор је начин на који двоминутна пријава постане цело поподне незаштићеног саобраћаја.
Знајте шта ваш клијент заиста имплементира. OpenVPN Connect на macOS-у документује откривање captive портала одвојено од своје опције која блокира приступ интернету док је VPN паузиран или се поново повезује. Открити портал и дозволити његов саобраћај су повезани задаци, а не заменљива обећања.
На управљаном уређају следите конфигурисани поступак пријема уместо да измишљате изнимку.
Шта празнина открива и коме
Занимљив део застоја није картица прегледача пред вама. То је све остало што почиње да користи мрежу у тренутку када се појави повезаност: пошта, синхронизација фотографија, провере ажурирања, клијент за разговор који се поново повезује, агент за резервне копије који наставља.
Тихо окно прегледача не говори вам ништа о томе. Затворите или паузирајте осетљив посао пре сваког дозвољеног интервала директног приступа и проверите шта се покреће при пријави. На Android-у стално укључен VPN у комбинацији са блокирањем веза изван VPN-а је релевантна контрола, а произвољна изнимка у рути не замењује разумевање тога.
То је једино место где стари савет о привременим прозорима приступа још важи. Забринутост је била исправна и онде где механизам није био.
Како изабрати и како то потврдити
Изаберите опцију А кад уређај или клијент подржава прави ток портала, јер она одржава блокаду нетакнутом све време. Изаберите опцију Б кад се до портала не може доћи на други начин и третирајте изнимку као временски ограничену промену са одговорним лицем.
Затим потврдите след, а не исход:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'Довршите пријем, успоставите жељени профил, вратите сваку привремено измењену контролу блокирања, а затим упутите нов, безопасан захтев и потврдите да иде кроз тунел. Захтев који успе зато што је блокада још искључена не доказује ништа о тунелу.
Промена VPN излаза неће обновити истеклу хотелску сесију. То су различити догађаји и њихово мешање шаље вас да тражите на погрешном месту.