Wi-Fi portalı girişlerini VPN girişlerinden ayırın
İki farklı sistem aynı şeyi ister: giriş. Portal yerel erişimi, VPN özel ağa erişimi denetler. Her pencerede sorun: bu sırrı gerçekte kim doğrulayabilir?
Genel bir ağda işe yarar bir şeye ulaşmadan önce iki farklı sistem sizden giriş ister: mekânın Wi-Fi'ı ve VPN ağ geçidiniz. Ekranda aynı görünürler ve tamamen farklı şeylere izin verirler. Portal bu cihazın yerel ağı kullanıp kullanamayacağına karar verir; VPN başka bir yerde özel bir ağa ulaşıp ulaşamayacağınıza karar verir. Her pencerede tek bir soru sorarak onları ayırırım: bu sırrı gerçekte kim doğrulayabilir? Aşağıdakiler otellerde, havalimanlarında ve konferans mekânlarında kullandığım denetim listesidir; yazmayı bıraktığım noktalar da dahil.
Her girişi onu denetleyen hizmetle eşleştirin
Tek bir otel bağlantısı dört ayrı denetim içerebilir ve bunlardan yalnızca bazıları sizden girdi ister. Önce sıraya koyun, çünkü ekran hangi aşamaya ait olduğunu nadiren söyler.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Ofislerde ve üniversitelerde yaygın olan 802.1X ağları ilk iki satırı bulanıklaştırır. Orada Wi-Fi girişi başlı başına bir RADIUS sunucusuna karşı kimlik denetimidir ve istemci, gerçek hesap şifreli değiş tokuşun içinde yol alırken bir yönlendirme kimliği sunabilir. O zaman bile denetim ağa katılmayla ilgilidir; tüneli yetkilendirmez ve VPN ağ geçidi bunu hiçbir şeyin kanıtı olarak kabul etmez.
Sıra etiketlerden daha önemlidir. Yakalama portalları, erişim ilişkilendirmeden sonra verilebildiği için vardır; bu yüzden bir mekân sayfayı uzman bir sağlayıcıya devredebilir. IETF'nin RFC 8952 belgesi portalı kendi bileşeni olarak ele alır, bu yüzden tanınmayan bir alan adı denetleme nedenidir, kendi başına dolandırıcılık kanıtı değildir. Alan adını mekânın yazılı talimatlarıyla, alanları da tabloyla karşılaştırın.
Portalın ne isteyebileceğini denetleyin
Portal alanları hakla ilgilidir, kimlikle değil: oda numarası, rezervasyondaki soyadı, kupon kodu, anahtar kılıfına basılmış kod, süreli geçiş için e-posta, koşulların kabulü. Mekân odayı kimin ayırttığını zaten bilir, bu yüzden başka bir yerde sizin gibi davranmasına izin verecek bir şey öğrenmeden bu gerçekleri eşleştirebilir.
Bu listenin ötesindeki her şey bir duraklamayı hak eder. Bir hotspot sayfası etki alanı parolanızı doğrulayamaz ve o da VPN'inizin tek kullanımlık kodunu, kurtarma kodunu veya özel anahtarını doğrulayamaz ve bunları istemek için bir nedeni yoktur. Tek meşru istisna bir kuruluş tarafından yönetilen ağdır: ofis misafir SSID'si veya konferans Wi-Fi'ı sizi iş için zaten kullandığınız kimlik sağlayıcısına yönlendirebilir. Yine de ayırt edilebilir: giriş sunucusu günlük olanınızdır, onay ekranı kiracınızı adlandırır ve akış görünür bir tarayıcı sekmesinde açılır.
Pazarlama e-postası ayrıdır: bir seyahat takma adı, iş kimliğinizi vermeden alanı doldurur.
VPN istemcisinin kendi kimlik bilgilerini isteyip istemediğini denetleyin
İstemci tam olarak profilinin yapılandırıldığı şeyi ister, bu yüzden beklenen pencere profilin özelliğidir, tesadüfen bulunduğunuz ağın değil. Sertifika profilleri genellikle bir profil seçimi gösterir ve sonra sessizce bağlanır. Kullanıcı adı ve parola profilleri ikisini de ister, çoğu zaman tek kullanımlık kodla. SSO profilleri tarayıcınızı kimlik sağlayıcısında açar ve bir jetonla döner. WireGuard yine farklıdır: aygıtları ortak anahtarla doğrular ve kullanıcı girişi yoktur, bu yüzden WireGuard kullanıcı adı ve parolası sunan bir pencere WireGuard'ı tanımlamaz.
Seyahatten önce profili okuyun. OpenVPN içinde auth-user-pass size bir parola istemi beklendiğini söyler, cert, key veya pkcs12 ise işi bir sertifikanın yapması gerektiği anlamına gelir. Normalde istem olmadan bağlanan bir profil aniden parola isterse, sertifikasını yükleyemeyen veya başka bir yönteme düşen bir profilden şüphelenin. İstem, görünen herhangi bir pencereye iş parolanızı yazmanız için bir davet değildir.
Hiçbir meşru VPN istemcisi oda numarasını, portal kuponunu veya Wi-Fi parola ifadesini kimlik doğrulama girdisi olarak istemez. Bu olduğunda, ya istemci iddia ettiği şey değildir ya da bir yakalama portalı tünel oluşmadan önce trafiği kesiyor ve siz giriş gibi biçimlendirilmiş bir HTML sayfası okuyorsunuz.
Bu beş koşulda durun
Bunlar makul bir dolambaçla devam etmek yerine durduğum noktalardır. Her birini denetlemek ucuz, yanlış yapmak pahalıdır.
- Portalda veya SSO sayfasında bir sertifika ya da TLS uyarısı belirir. Ağa ulaşmak için tıklayarak geçmeyin.
- Sayfa yalnızca VPN ağ geçidinin veya kimlik sağlayıcısının doğrulayabileceği bir sır ister: etki alanı parolası, tek kullanımlık kod, kurtarma kodu, özel anahtar.
- Etki alanı, mekânın yazılı talimatlarıyla veya kuruluşunuzun kendi hizmetleri için belgelediği giriş sunucusuyla eşleşmiyor.
- Aygıt yönetiminizden gelmeyen bir kök sertifika, yapılandırma profili veya yardımcı uygulama kurmanız isteniyor.
- Başlatmadığınız bir MFA onayı geliyor ya da VPN istemcisi otel kimlik bilgilerini istiyor.
Alternatif başka bir parola değildir. Telefon hotspot'u kullanın, resepsiyona ağın tam adını ve erişim yöntemini sorun ve sayfayı ağı yönetene veya BT masanıza bildirin. Bunların hiçbiri, kaynağını atfedemediğiniz bir sayfaya karşı kimlik bilgisi sınamayı gerektirmez.
Hatayı doğru aşamaya bağlayın
Her iki aşama geçtikten sonra da hatalar olur ve hata sırayla okunduğunda genellikle aşamayı adlandırır: ilişkilendirme, adres atama, portal yetkilendirmesi, tünel kurulumu, ardından iç kaynak. Portal kodu süresi doldu diye VPN parolasını değiştirmek zaman kaybettirir ve gerçek sorunu yerinde bırakır.
Birkaç sınama aşamaları ayırır. Portal girişinden sonra sıradan bir genel HTTPS sayfası isteyin. Onun yerine portal dönerse, yetkilendirme o katmanda hiç tamamlanmamıştır. VPN istemcisi ağ geçidine ulaşamadığını bildirirse sorun tünelin altındadır: portal oturumu, ad çözümlemesi veya bağlantı noktasını engelleyen bir ağ. Tünel açılıp bir iç ana bilgisayar adı başarısız olursa, özel ağ içindeki ad çözümlemesi veya ilke daha iyi bir şüphelidir.
Portal oturumları da tünelden bağımsız olarak sona erer. Mekân erişimi iptal ettiğinde, kimlik bilgileri hiç yanlış olmadığı hâlde kurulu VPN bağlantısı düşer. Portalı yeniden yetkilendirin, sonra VPN'i yeniden bağlayın ve yeniden pazarlık etmesine izin verin. O anda VPN parolasını döndürmek hiçbir şeyi düzeltmez ve sizi dışarıda kilitleyebilir.
Her sırrı yalnızca onu doğrulayabilen sisteme verin ve tabloya uymayan bir isteği atlanacak bir adım değil, durma işareti olarak görün. İki aşama da geçip tünel yine de reddederse, herhangi bir kimlik bilgisini değiştirmeden önce istemcinin tam hatasını kaydedin.