Перевірте точку доступу, перш ніж підпускати до неї робочі облікові дані

Точка доступу видає адресу раніше, ніж видає інтернет, і довіра вирішується саме в цьому проміжку. Пристрій асоціюється, запитує адресу, і далі кожен вихідний запит перехоплюється, доки портал не повідомить, що сеанс авторизовано. Цей механізм пояснює, чому сторінка може виглядати завантажуваною, хоча справжнього з'єднання немає. Перевірте проміжок чимось безпечним, перш ніж його торкнуться якісь робочі облікові дані.

Що точка доступу робить з вашим першим запитом

Асоціація дає пристрою ланку, а DHCP видає йому адресу, шлюз і зазвичай DNS-сервер, що належить закладу. Поки авторизація не завершиться, шлюз відкидає або перенаправляє вихідний трафік, і багато порталів відповідають на DNS для будь-якого імені власною адресою. Тому пошук виглядає успішним: відповідь — це портал, а не запитаний сайт. Мережа поводиться так, як задумано; просто це ще не інтернет.

Перший запит HTTP зазвичай отримує перенаправлення на портал, яке операційна система може відкрити за вас. HTTPS так перенаправити не можна, тому він або падає, або зависає, і браузер показує помилку сертифіката або тайм-аут. Різниця діагностична: перенаправлення HTTP — це говорить портал, а збій TLS до стороннього хоста — щось інше. Огороджений сад, де кілька доменів пропускають для оплати або входу, дає третій зразок.

Підтвердьте мережу, перш ніж входити

Підтвердьте SSID і спосіб входу в закладу каналом, який не є самою мережею. Портал, який вимагає корпоративний пароль, номер картки та адресу електронної пошти робить три різні речі, і лише дві останні звичайні для гостьового доступу. Надавайте перевагу запрошенню операційної системи щодо captive-порталу: воно розпізнає перенаправлення через відому кінцеву точку, а не довіряє будь-якій сторінці, що з'явилася. Якщо заклад не може описати власний портал, це привід зачекати, а не імпровізувати.

Попередження про сертифікат під час входу на портал не є кроком, який пролискують кліком. Порталу не потрібно видавати себе за сторонній хост, щоб вас автентифікувати.

Виконайте найменшу перевірку, що доводить доступ

Завершіть законну авторизацію, потім запитайте одну звичайну публічну сторінку HTTPS, яку ви раніше не завантажували, щоб відповідь не могла прийти з кешу. Запишіть, що саме не вдалося, якщо не вдасться: пошук імені, тайм-аут з'єднання, помилка сертифіката або відмова служби. Ці чотири належать до різних рівнів, і їхній запис заважає наступній людині перевіряти знову навпомацки. Потім підключіть передбачуваний VPN і запитайте один ресурс, який його потребує.

Тримайте перевірку малою. Завантаження тесту швидкості на лімітованому доступі відповідає на питання, якого ніхто не ставив, і може коштувати користувачеві грошей. Відповіді із заголовками достатньо, щоб довести досяжність, і вона не тягне мегабайти через канал, який рахує трафік за гігабайтами.

Якщо звичайний доступ працює, а тунель ні, це інше розслідування, ніж мережа, яка нікого не авторизувала. Тримайте два результати окремо, замість того щоб змінювати кілька налаштувань приватності одразу.

Тримайте особисту роботу поза порівнянням

Кожен застосунок на пристрої — потенційний спостерігач, а captive-портал — це момент, коли всі вони намагаються достукатися до своїх серверів. Закрийте ті, що можете, і ставтеся до керованого пристрою, який завжди ввімкнено, як до питання політики, а не техніки: використовуйте схвалений метод для порівняння, замість того щоб прибирати захист, який робить його керованим. Якщо пристрій повністю забороняє трафік поза тунелем, виконайте перевірку на іншому, нечутливому пристрої. Сенс вправи — дізнатися про мережу, не розкриваючи їй облікові дані.

Не перехоплюйте чужий трафік, щоб діагностувати заклад, і тримайте будь-який діагностичний запис у межах свого пристрою та сеансу. Перегляньте поля адреси та ідентифікатора, перш ніж долучати запис до заявки, бо мережа закладу — не ваша шафа з доказами.

Вирішіть, що результат дозволяє вам робити

Можливі три результати: повний доступ із робочим тунелем, доступ лише до порталу з тунелем, що не працює, або відсутність доступу. Кожен має інший наступний крок, і цінність перевірки — знати, у якому ви перебуваєте, перш ніж змінювати налаштування. Повний доступ означає, що робота може продовжуватися через тунель; доступ лише до порталу свідчить, що порт або протокол тунелю заблоковано, тож відповідь — інший транспорт або мережа; відсутність доступу означає, що заклад сьогодні не може забезпечити завдання. Пристрій, який завжди пробує лише один протокол, не може їх розрізнити.

Запишіть SSID, результат і час, щоб наступна людина в тому самому закладі почала з доказів. настанова щодо captive-мереж Apple описує поведінку виявлення за запрошенням, і це та частина, яку варто зрозуміти, перш ніж звинувачувати VPN.