Одвојите пријаве на Wi-Fi портал од пријава на VPN
Два различита система траже исто: пријаву. Портал контролише локални приступ, VPN приступ приватној мрежи. Питајте на сваком прозору ко заиста може да провери ову тајну.
Два различита система траже да се пријавите пре него што стигнете до било чега корисног на јавној мрежи: Wi-Fi места и ваш VPN приступник. На екрану изгледају исто и одобравају сасвим различите ствари. Портал одлучује да ли овај уређај сме да користи локалну мрежу; VPN одлучује да ли можете да достигнете приватну мрежу другде. Држим их одвојено тако што сваком прозору постављам једно питање: ко заиста може да провери ову тајну? Следи контролна листа коју пролазим у хотелима, на аеродромима и на конференцијама, укључујући места на којима престајем да куцам.
Повежите сваку пријаву са сервисом који је проверава
Једна хотелска веза може да укључује четири одвојене провере, а само неке траже ваш унос. Прво их поређајте, јер екран ретко каже којој фази припада.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
802.1X мреже, честе у канцеларијама и на универзитетима, замућују прва два реда. Тамо је Wi-Fi пријава сама по себи провера идентитета према RADIUS серверу, а клијент може да представи усмеравајући идентитет док прави налог путује унутар шифроване размене. Чак и тада провера се односи на придруживање мрежи; она не одобрава тунел, а VPN приступник је не прихвата као доказ било чега.
Редослед је важнији од ознака. Captive портали постоје јер се приступ може доделити након придруживања, зато место може страницу да преда специјализованом провајдеру. RFC 8952 IETF-а третира портал као сопствену компоненту, па је непознат домен разлог за проверу, а не сам по себи доказ преваре. Упоредите домен са писаним упутствима места, а поља са табелом.
Проверите шта портал сме да тражи
Поља портала тичу се права, не идентитета: број собе, презиме са резервације, код ваучера, код одиштампан на омоту кључа, е-пошта за временску пропусницу, прихватање услова. Место већ зна ко је резервисао собу, па може да упари те чињенице а да не сазна ништа што би му омогућило да другде делује као ви.
Све изван тог списка заслужује паузу. Страница хотспота не може да провери вашу лозинку домена, а ни једнократни код за VPN, код за опоравак или приватни кључ не може да провери, и нема разлога да их тражи. Једини легитимни изузетак је мрежа коју води организација: гостујући SSID у канцеларији или Wi-Fi на конференцији могу да вас предају провајдеру идентитета који већ користите за посао. Ипак се разликује: хост за пријаву је ваш свакодневни, екран сагласности именује вашег закупца, а ток се отвара у видљивој картици прегледача.
Маркетиншка е-пошта је одвојена: путни алијас задовољава поље без предаје вашег радног идентитета.
Проверите да ли VPN клијент жели сопствене акредитиве
Клијент тражи тачно оно за шта је његов профил конфигурисан, па је очекивани прозор својство профила, а не мреже на којој се случајно налазите. Профили са сертификатом обично покажу избор профила, а затим се повежу тихо. Профили са корисничким именом и лозинком траже обоје, често са једнократним кодом. SSO профили отварају ваш прегледач код провајдера идентитета и враћају се са токеном. WireGuard је опет другачији: аутентификује уређаје јавним кључем и нема корисничку пријаву, па прозор који нуди WireGuard корисничко име и лозинку не описује WireGuard.
Прочитајте профил пре путовања. У OpenVPN auth-user-pass вам каже да се очекује захтев за лозинку, док cert, key или pkcs12 значи да би сертификат требало да обави посао. Ако профил који се обично повезује без захтева наједном затражи лозинку, посумњајте на профил који није успео да учита сертификат или се вратио на другу методу. Захтев није позив да упишете своју радну лозинку у било који прозор који се појавио.
Ниједан легитиман VPN клијент не тражи број собе, портални ваучер или Wi-Fi лозинку као улаз за аутентификацију. Када се то догоди, или клијент није оно што тврди, или captive портал пресреће саобраћај пре него што се тунел формира и ви читате HTML страницу стилизовану као пријава.
Зауставите се на ових пет услова
То су тачке на којима се заустављам уместо да наставим са уверљивим заобилажењем. Сваку је јефтино проверити и скупо погрешити.
- На порталу или на SSO страници појави се упозорење о сертификату или TLS. Не прелазите преко њега да бисте стигли до мреже.
- Страница тражи тајну коју само VPN приступник или провајдер идентитета може да провери: лозинку домена, једнократни код, код за опоравак, приватни кључ.
- Домен се не поклапа са одиштампаним упутствима места или са хостом за пријаву који ваша организација документује за своје услуге.
- Од вас се тражи да инсталирате коренски сертификат, конфигурациони профил или помоћну апликацију која не долази из управљања вашим уређајима.
- Стигне одобрење MFA које нисте покренули, или VPN клијент тражи хотелске акредитиве.
Алтернатива није друга лозинка. Користите хотспот са телефона, питајте рецепцију за тачан назив мреже и начин приступа и пријавите страницу ономе ко управља мрежом или вашој ИТ служби. Ништа од тога не захтева тестирање акредитива на страници којој не можете да припишете порекло.
Припишите неуспех правом ступњу
Када обе фазе прођу, неуспеси се и даље дешавају, а грешка обично именује фазу ако је читате по реду: придруживање, додела адресе, ауторизација портала, успостављање тунела, па интерни ресурс. Мењање VPN лозинке зато што је код портала истекао губи време и оставља прави проблем на месту.
Неколико проба раздваја фазе. Након пријаве на портал, затражите обичну јавну HTTPS страницу. Ако се уместо ње врати портал, ауторизација никада није завршена на том слоју. Ако VPN клијент пријави да не може да достигне приступник, проблем је испод тунела: сесија портала, разрешавање имена или мрежа која блокира порт. Ако се тунел подигне а једно интерно име хоста не успе, разрешавање имена или политика унутар приватне мреже је бољи осумњичени.
Сесије портала такође истичу независно од тунела. Када место опозове приступ, успостављена VPN веза пада иако њени акредитиви никада нису били погрешни. Поново ауторизујте портал, затим поново повежите VPN и пустите га да поново преговара. Ротирање VPN лозинке тада ништа не поправља и може да вас закључа.
Дајте сваку тајну само систему који може да је провери и третирајте захтев који се не уклапа у табелу као знак за заустављање, а не као корак који треба заобићи. Ако обе фазе прођу а тунел и даље одбија, забележите тачну грешку клијента пре него што промените било које акредитиве.