พอร์ทัล captive กับ VPN ที่ติดขัด: ใครขยับก่อน
พอร์ทัลของโรงแรมต้องการทราฟฟิกก่อนที่อุโมงค์จะเกิด แต่ VPN บล็อกจนกว่าอุโมงค์จะขึ้น เปรียบเทียบลำดับทั้งสองแบบและสิ่งที่แต่ละแบบเปิดเผยในช่วงที่ยังว่างอยู่
พอร์ทัลของโรงแรมต้องการเห็นเบราว์เซอร์ก่อนจะปล่อยทราฟฟิกใด ๆ VPN ของคุณปฏิเสธที่จะปล่อยทราฟฟิกก่อนที่อุโมงค์ของมันจะขึ้น ทั้งสองฝ่ายรอกันและกัน และทั้งคู่ก็ทำงานตามที่ตั้งค่าไว้ทุกประการ มีเพียงสองลำดับที่ทลายทางตันนี้ และทั้งสองต่างกันที่สิ่งที่เปิดเผยระหว่างช่วงที่ยังเปิดอยู่ จงเลือกอย่างใดอย่างหนึ่งโดยเจตนา แทนที่จะสลับการตั้งค่าที่ทำให้เบราว์เซอร์โหลดได้
สองลำดับ มีหนึ่งที่ใช้ได้
ไม่ว่าเครือข่ายจะรับคุณเข้าก่อนแล้วอุโมงค์จึงตามมา หรือคุณเปิดข้อยกเว้นแคบ ๆ สำหรับพอร์ทัลแล้วค่อยคืนการบล็อกภายหลัง ทั้งสองแบบถูกต้อง สิ่งที่ไม่ถูกต้องคือการปิดการบล็อกแล้วลืมคืนกลับ
| Order | What it costs | When it fails |
|---|---|---|
| Admit, then connect | Nothing extra; the block stays on | The client cannot reach the portal with the tunnel down |
| Exception, then restore | A timed window of direct access | The window is left open, or scoped too broadly |
ทั้งสองลำดับไม่ได้ดีเท่ากันในทุกสถานการณ์ อุปกรณ์ที่บริหารจัดการซึ่งมีขั้นตอนการรับเข้าที่บังคับมีคำตอบหนึ่ง และแล็ปท็อปส่วนตัวบน Wi-Fi ของโรงแรมมีอีกคำตอบหนึ่ง การเปรียบเทียบนี้เกี่ยวกับสิ่งที่แต่ละทางเลือกต้องเสียสละ
เริ่มจากการรู้ว่าคลไเอนต์และนโยบายอุปกรณ์ของคุณรองรับแบบใดจริง ๆ
ทางเลือก A: รับเครือข่ายเข้าก่อน แล้วค่อยเชื่อมอุโมงค์
ยืนยันชื่อเครือข่ายที่คาดไว้ แล้วใช้ข้อความขอลงชื่อเข้าใช้ของระบบปฏิบัติการหรือขั้นตอนพอร์ทัล captive ที่คลไเอนต์รองรับ บน iPhone และ iPad การปิดแผ่นลงชื่อเข้าใช้อาจตัดการเชื่อมโยงหรือคงไว้พร้อมคำเตือนว่าเครือข่ายไม่มีอินเทอร์เน็ต และนั่นคือจุดเริ่มต้นที่ต่างกัน ทำให้ขั้นตอนการรับเข้าเสร็จก่อน แล้วจึงยกอุโมงค์ขึ้น ลำดับนี้รักษาการบล็อกไว้ครบถ้วนตลอดเวลาที่อุโมงค์ยังไม่ขึ้น
กับดักคือพอร์ทัลที่อนุญาตการเข้าถึงอินเทอร์เน็ตไม่ได้ยืนยันบัญชี VPN ของคุณ อุโมงค์ยังต้องเชื่อมต่อภายหลัง และอาจล้มเหลวด้วยเหตุผลของตัวเอง การรับเข้าและการยืนยันตัวตนเป็นเหตุการณ์แยกกันที่ผู้คนหลอมรวมเป็นหนึ่ง
ถ้าการรับเข้าหมดอายุซ้ำ ๆ ให้บันทึกว่าพอร์ทัลถามอีกครั้ง เครือข่ายหลุด หรือมีเพียง VPN ที่ล้มเหลว
ทางเลือก B: ข้อยกเว้นการลงชื่อเข้าใช้แบบแคบ แล้วคืนการบล็อก
ทางเลือกอื่นคืออนุญาตทราฟฟิกของพอร์ทัลในขณะที่การบล็อกยังมีผลในส่วนอื่น ลงชื่อเข้าใช้ แล้วจึงถอดข้อยกเว้นออก ข้อยกเว้นต้องแคบ: ปลายทางเดียวหรือช่วงที่อยู่เดียว ตลอดระยะเวลาการลงชื่อเข้าใช้ และคืนการบล็อกทันทีหลังจากนั้น หน้าต่างชั่วคราวที่กว้างคือวิธีที่การลงชื่อเข้าใช้สองนาทีกลายเป็นทราฟฟิกที่ไม่มีการป้องกันตลอดบ่าย
รู้ว่าคลไเอนต์ของคุณนำอะไรไปใช้จริง OpenVPN Connect บน macOS เอกสารการตรวจจับพอร์ทัล captive แยกจากตัวเลือกที่บล็อกการเข้าถึงอินเทอร์เน็ตขณะที่ VPN หยุดชั่วคราวหรือเชื่อมต่อใหม่ การตรวจจับพอร์ทัลและการอนุญาตทราฟฟิกของมันเป็นงานที่เกี่ยวข้องกัน ไม่ใช่คำสัญญาที่แลกเปลี่ยนกันได้
บนอุปกรณ์ที่บริหารจัดการ ให้ทำตามขั้นตอนการรับเข้าที่ตั้งค่าไว้แทนการสร้างข้อยกเว้นขึ้นเอง
ช่วงที่ว่างอยู่เปิดเผยอะไร และแก่ใคร
ส่วนที่น่าสนใจของทางตันนี้ไม่ใช่แท็บเบราว์เซอร์ตรงหน้าคุณ แต่เป็นทุกสิ่งอื่นที่เริ่มใช้เครือข่ายในทันทีที่การเชื่อมต่อปรากฏ: อีเมล การซิงก์รูปภาพ การตรวจสอบอัปเดต คลไเอนต์แชตที่เชื่อมต่อใหม่ เอเจนต์สำรองข้อมูลที่ทำงานต่อ
หน้าต่างเบราว์เซอร์ที่เงียบไม่บอกอะไรคุณเกี่ยวกับสิ่งเหล่านั้น ปิดหรือหยุดงานที่อ่อนไหวก่อนช่วงการเข้าถึงโดยตรงที่ได้รับอนุญาตทุกครั้ง และตรวจสอบว่ามีอะไรทำงานตอนลงชื่อเข้าใช้ บน Android VPN ที่เปิดตลอดเวลาซึ่งใช้ร่วมกับการบล็อกการเชื่อมต่อนอก VPN คือการควบคุมที่เกี่ยวข้อง และข้อยกเว้นเส้นทางตามอำเภอใจไม่ใช่สิ่งทดแทนการทำความเข้าใจมัน
นี่คือที่เดียวที่คำแนะนำเก่าเกี่ยวกับหน้าต่างการเข้าถึงชั่วคราวยังใช้ได้ ความกังวลนั้นถูกต้องแม้ในที่ที่กลไกไม่ถูกต้อง
วิธีเลือกและวิธีตรวจสอบ
เลือกทางเลือก A เมื่ออุปกรณ์หรือคลไเอนต์รองรับขั้นตอนพอร์ทัลจริง เพราะรักษาการบล็อกไว้ได้ตลอด เลือกทางเลือก B เมื่อเข้าถึงพอร์ทัลด้วยวิธีอื่นไม่ได้ และถือว่าข้อยกเว้นเป็นการเปลี่ยนแปลงที่มีกำหนดเวลาและมีผู้รับผิดชอบ
จากนั้นตรวจสอบลำดับ ไม่ใช่ผลลัพธ์:
curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'ทำให้การรับเข้าเสร็จ ตั้งโปรไฟล์ที่ตั้งใจไว้ คืนการควบคุมการบล็อกใด ๆ ที่เปลี่ยนชั่วคราว แล้วส่งคำขอใหม่ที่ไม่เป็นอันตรายและยืนยันว่ามันไปตามอุโมงค์ คำขอที่สำเร็จเพราะการบล็อกยังปิดอยู่ไม่ได้พิสูจน์อะไรเกี่ยวกับอุโมงค์
การเปลี่ยนทางออกของ VPN จะไม่ต่ออายุเซสชันโรงแรมที่หมดอายุ สิ่งเหล่านั้นเป็นเหตุการณ์ที่ต่างกัน และการสับสนจะทำให้คุณไปหาผิดที่