Портал captive і VPN у глухому куті: хто рухається першим

Портал готелю хоче побачити браузер, перш ніж пропустити будь-який трафік. Ваш VPN відмовляється пропускати трафік, поки його тунель не піднято. Кожна сторона чекає на іншу, і обидві поводяться точно так, як налаштовані. Цей глухий кут розривають лише два порядки, і вони різняться тим, що відкривають, поки проміжок залишається відкритим. Виберіть один свідомо, замість того щоб смикати будь-яке налаштування, після якого завантажується браузер.

Два порядки, і один із них працює

Або мережа спершу приймає вас, а тунель піднімається другим, або ви відкриваєте вузький виняток для порталу, а блокування потім повертаєте. Обидва варіанти законні. Незаконно вимкнути блокування й забути повернути його.

Ці два порядки не однаково добрі в будь-якій ситуації. У керованого пристрою з обов'язковою процедурою допуску одна відповідь, в особистого ноутбука в готельному Wi-Fi інша. Порівняння — про те, чим кожен варіант доводиться жертвувати.

Почніть із того, щоб з'ясувати, який із них справді підтримують ваш клієнт і політика пристрою.

Варіант A: спершу допуск у мережу, потім підключення тунелю

Підтвердьте очікувану назву мережі, потім скористайтеся запитом на вхід операційної системи або підтримуваним клієнтом сценарієм captive portal. На iPhone та iPad закриття аркуша входу може або розірвати зв'язок із мережею, або зберегти його з попередженням про відсутність інтернету, і це різні точки старту. Спершу завершіть крок допуску, потім піднімайте тунель. Такий порядок зберігає блокування недоторканим увесь час, поки тунель не піднято.

Заковика в тому, що портал, який дозволяє доступ до інтернету, не автентифікував ваш обліковий запис VPN. Тунель усе одно має підключитися після цього, і він може відмовити з власних причин. Допуск і автентифікація — це різні події, які люди зливають в одну.

Якщо допуск продовжує спливати, занотуйте, чи портал запитує знову, чи мережа обривається, чи збоїть лише VPN.

Варіант B: вузький виняток для входу, потім повернення блокування

Альтернатива — дозволити трафік порталу, поки блокування в усьому іншому діє, увійти, а потім прибрати виняток. Виняток має бути вузьким: одне призначення або один діапазон адрес, на час входу, з негайним поверненням блокування після нього. Широке тимчасове вікно — це те, як двохвилинний вхід перетворюється на цілий день незахищеного трафіку.

Знайте, що насправді реалізує ваш клієнт. OpenVPN Connect на macOS документує виявлення captive portal окремо від своєї опції, яка блокує доступ до інтернету, поки VPN призупинено або перепідключається. Виявити портал і дозволити його трафік — це пов'язані завдання, а не взаємозамінні обіцянки.

На керованому пристрої дотримуйтеся налаштованої процедури допуску, а не вигадуйте виняток.

Що відкриває проміжок і кому

Цікаве в цьому глухому куті не вкладка браузера перед вами. А все інше, що починає використовувати мережу в момент появи підключення: пошта, синхронізація фото, перевірки оновлень, клієнт чату, що перепідключається, агент резервного копіювання, що відновлює роботу.

Тихе вікно браузера нічого про це не каже. Закрийте або призупиніть чутливу роботу перед будь-яким дозволеним інтервалом прямого доступу й перевірте, що запускається під час входу. На Android постійно ввімкнений VPN у поєднанні з блокуванням з'єднань поза VPN це і є потрібний засіб контролю, і довільний виняток у маршруті не замінює розуміння цього.

Це єдине місце, де стара порада про тимчасові вікна доступу досі слушна. Занепокоєння було правильним, навіть якщо механізм — ні.

Як вибрати і як це підтвердити

Вибирайте варіант A, коли пристрій або клієнт підтримує справжній сценарій із порталом, бо він зберігає блокування протягом усього часу. Вибирайте варіант B, коли до порталу не дістатися інакше, і ставтеся до винятку як до тимчасової зміни з відповідальним.

Потім підтвердьте послідовність, а не результат:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Завершіть допуск, установіть потрібний профіль, поверніть будь-який тимчасово змінений засіб блокування, а тоді зробіть новий нешкідливий запит і переконайтеся, що він іде через тунель. Запит, який вдається тому, що блокування все ще вимкнене, нічого не доводить про тунель.

Зміна виходу VPN не поновить сеанс готелю, що сплив. Це різні події, і плутанина з ними змушує вас шукати не там.