Paghiwalayin ang mga pag-log in sa Wi-Fi portal at sa VPN
Dalawang magkaibang sistema ang humihingi ng isang bagay: pag-log in. Kinokontrol ng portal ang lokal na access, ng VPN ang access sa pribadong network. Itanong sa bawat window kung sino talaga ang makapagpapatunay ng sikretong ito.
Dalawang magkaibang sistema ang humihiling sa iyong mag-log in bago mo maabot ang anumang kapaki-pakinabang sa pampublikong network: ang Wi-Fi ng lugar at ang iyong VPN gateway. Magkamukha sila sa screen at nagpapahintulot ng ganap na magkaibang bagay. Ang portal ay nagpapasya kung ang device na ito ay maaaring gumamit ng lokal na network; ang VPN ang nagpapasya kung maaabot mo ang isang pribadong network sa ibang lugar. Pinaghihiwalay ko sila sa pamamagitan ng pagtatanong ng isang bagay sa bawat window: sino talaga ang makapagpapatunay ng sikretong ito? Sumusunod ang checklist na ginagamit ko sa mga hotel, paliparan at venue ng kumperensya, kasama ang mga puntong hinihinto ko sa pagta-type.
Iugnay ang bawat pag-log in sa serbisyong nagbeberipika nito
Ang isang koneksyon sa hotel ay maaaring may apat na hiwalay na pagsusuri, at ilan lamang ang humihingi ng iyong input. Ayusin muna ang mga ito sa pagkakasunod-sunod, dahil bihirang sabihin ng screen kung aling yugto ito.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Ang mga 802.1X network, karaniwan sa mga opisina at unibersidad, ay nagpapalabo sa unang dalawang linya. Doon ang pag-log in sa Wi-Fi mismo ay pagsusuri ng pagkakakilanlan laban sa isang RADIUS server, at ang client ay maaaring magpakita ng routing identity habang ang tunay na account ay naglalakbay sa loob ng naka-encrypt na palitan. Kahit gayon, tungkol sa pagsali sa network ang pagsusuri; hindi nito pinapahintulutan ang tunnel, at hindi ito tinatanggap ng VPN gateway bilang patunay ng anuman.
Mas mahalaga ang pagkakasunod-sunod kaysa sa mga label. Umiiral ang mga captive portal dahil maaaring ibigay ang access pagkatapos ng asosasyon, kaya maaaring ipaubaya ng lugar ang pahina sa isang dalubhasang provider. Itinuturing ng RFC 8952 ng IETF ang portal bilang sarili nitong bahagi, kaya ang hindi kilalang domain ay dahilan upang mag-verify, hindi patunay ng panloloko sa sarili nito. Ihambing ang domain sa nakasulat na tagubilin ng lugar, at ang mga field sa talahanayan.
Tingnan kung ano ang maaaring hingin ng portal
Ang mga field ng portal ay tungkol sa karapatan, hindi sa pagkakakilanlan: numero ng kwarto, apelyido sa reserbasyon, voucher code, code na nakalimbag sa takip ng susi, email para sa pansamantalang pass, pagtanggap sa mga tuntunin. Alam na ng lugar kung sino ang nag-book ng kwarto, kaya maaari nitong itugma ang mga katotohanang iyon nang hindi natututo ng anumang bagay na magpapahintulot dito na kumilos bilang ikaw sa ibang lugar.
Anumang lampas sa listahang iyon ay karapat-dapat sa isang paghinto. Isang hotspot page hindi mapapatunayan ang iyong domain password, at hindi rin nito mapapatunayan ang iyong one-time code sa VPN, recovery code o private key, at wala itong dahilan para hilingin ang mga ito. Ang tanging lehitimong pagbubukod ay isang network na pinamamahalaan ng organisasyon: ang guest SSID ng opisina o Wi-Fi ng kumperensya ay maaaring magpadala sa iyo sa identity provider na ginagamit mo na para sa trabaho. Nakikilala pa rin ito: ang login host ay ang pang-araw-araw mo, pinapangalanan ng consent screen ang iyong tenant, at bumubukas ang daloy sa nakikitang tab ng browser.
Ang marketing email ay hiwalay: ang travel alias ay pumupuno sa field nang hindi ibinibigay ang iyong work identity.
Tingnan kung ang VPN client ay humihingi ng sarili nitong kredensyal
Hinihingi ng client ang eksaktong naka-configure sa profile nito, kaya ang inaasahang window ay katangian ng profile, hindi ng network kung saan ka nagkataon. Karaniwang nagpapakita ng pagpili ng profile ang mga certificate profile at pagkatapos ay tahimik na kumokonekta. Hinihingi ng username at password profile ang pareho, madalas may one-time code. Binubuksan ng SSO profile ang iyong browser sa identity provider at bumabalik na may token. Ibang-iba naman ang WireGuard: pinapatunayan nito ang mga device gamit ang public key at walang user login, kaya ang window na nag-aalok ng WireGuard username at password ay hindi naglalarawan sa WireGuard.
Basahin ang profile bago maglakbay. Sa OpenVPN, sinasabi ng auth-user-pass na inaasahan ang password prompt, habang ang cert, key o pkcs12 ay nangangahulugang isang certificate ang dapat gumawa ng trabaho. Kung ang profile na karaniwang kumokonekta nang walang prompt ay biglang humingi ng password, paghinalaan ang profile na nabigong i-load ang certificate nito o nahulog sa ibang paraan. Ang prompt ay hindi imbitasyon na i-type ang work password sa anumang window na lumitaw.
Walang lehitimong VPN client ang humihingi ng room number, portal voucher o Wi-Fi passphrase bilang authentication input. Kapag nangyari iyon, alinman sa ang client ay hindi kung ano ang sinasabi nito, o isang captive portal ang humaharang sa trapiko bago mabuo ang tunnel at nagbabasa ka ng HTML page na inistilo na parang login.
Huminto sa limang kondisyong ito
Ito ang mga puntong hinihintuan ko sa halip na magpatuloy sa isang makatwirang palihis. Bawat isa ay mura upang suriin at mahal kapag nagkamali.
- May babalang certificate o TLS na lumilitaw sa portal o sa pahina ng SSO. Huwag itong lampasan sa pag-click upang maabot ang network.
- Humihingi ang pahina ng sikretong tanging ang VPN gateway o ang identity provider ang makapagpapatunay: domain password, one-time code, recovery code, private key.
- Hindi tumutugma ang domain sa nakasulat na tagubilin ng lugar o sa login host na idinodokumento ng iyong organisasyon para sa sariling mga serbisyo nito.
- Hinihiling sa iyong mag-install ng root certificate, configuration profile o helper application na hindi galing sa pamamahala ng iyong mga device.
- Dumarating ang isang MFA approval na hindi mo sinimulan, o ang VPN client ay humihingi ng hotel credentials.
Ang alternatibo ay hindi ibang password. Gumamit ng phone hotspot, itanong sa reception ang eksaktong pangalan ng network at paraan ng access, at iulat ang pahina sa namamahala ng network o sa IT desk mo. Wala sa mga iyon ang nangangailangan ng pagsubok ng kredensyal laban sa pahinang hindi mo maipapaliwanag.
Itugma ang pagkabigo sa tamang yugto
Pagkatapos ng dalawang yugto, nangyayari pa rin ang pagkabigo, at karaniwang pinapangalanan ng error ang yugto kung basahin ito nang sunud-sunod: asosasyon, pagbibigay ng address, awtorisasyon ng portal, pagtatatag ng tunnel, pagkatapos ang panloob na resource. Ang pagpapalit ng VPN password dahil nag-expire ang portal code ay nagsasayang ng oras at iniiwan ang tunay na problema sa lugar nito.
Ilang pagsusuri ang naghihiwalay sa mga yugto. Pagkatapos ng portal login, humingi ng ordinaryong pampublikong HTTPS page. Kung ang portal ang bumalik sa halip, hindi kailanman natapos ang awtorisasyon sa layer na iyon. Kung iniulat ng VPN client na hindi nito maabot ang gateway, ang problema ay nasa ilalim ng tunnel: ang portal session, name resolution o isang network na humaharang sa port. Kung bumangon ang tunnel at nabigo ang isang panloob na hostname, ang name resolution o patakaran sa loob ng pribadong network ang mas mabuting hinala.
Nag-expire din ang mga portal session nang hiwalay sa tunnel. Kapag binawi ng lugar ang access, bumabagsak ang naitatag na VPN connection kahit kailanman ay hindi mali ang kredensyal nito. Awtorisahang muli ang portal, pagkatapos ay ikonekta muli ang VPN at hayaan itong makipagkasundo muli. Ang pag-ikot ng VPN password noon ay walang naaayos at maaaring mag-lock sa iyo sa labas.
Ibigay lamang ang bawat sikreto sa sistemang makapagpapatunay nito, at ituring ang kahilingang hindi umaayon sa talahanayan bilang senyales ng paghinto, hindi hakbang na dapat iwasan. Kung pumasa ang dalawang yugto at tumatanggi pa rin ang tunnel, itala ang eksaktong error ng client bago baguhin ang anumang kredensyal.