Wi-Fi پورٹل کی لاگ اِن کو VPN لاگ اِن سے الگ رکھیں
دو مختلف نظام ایک ہی چیز مانگتے ہیں: لاگ اِن۔ پورٹل مقامی رسائی کنٹرول کرتا ہے، VPN نجی نیٹ ورک تک رسائی۔ ہر ونڈو میں پوچھیں: یہ راز واقعی کون تصدیق کر سکتا ہے؟
عوامی نیٹ ورک پر کسی مفید چیز تک پہنچنے سے پہلے دو مختلف نظام آپ سے لاگ اِن مانگتے ہیں: جگہ کا Wi-Fi اور آپ کا VPN گیٹ وے۔ اسکرین پر ایک جیسے دکھتے ہیں اور بالکل مختلف چیزوں کی اجازت دیتے ہیں۔ پورٹل فیصلہ کرتا ہے کہ یہ ڈیوائس مقامی نیٹ ورک استعمال کر سکتی ہے یا نہیں؛ VPN فیصلہ کرتا ہے کہ آپ کہیں اور نجی نیٹ ورک تک پہنچ سکتے ہیں یا نہیں۔ میں ہر ونڈو میں ایک سوال پوچھ کر اِنہیں الگ رکھتا ہوں: یہ راز واقعی کون تصدیق کر سکتا ہے؟ آگے وہ چیک لسٹ ہے جو میں ہوٹلوں، ہوائی اڈوں اور کانفرنس مقامات پر استعمال کرتا ہوں، بشمول وہ مقامات جہاں ٹائپ کرنا بند کر دیتا ہوں۔
ہر لاگ اِن کو اُس سروس سے جوڑیں جو اُسے جانچتی ہے
ایک ہوٹل کنکشن میں چار الگ جانچیں ہو سکتی ہیں، اور صرف کچھ ہی آپ کا اِن پٹ مانگتی ہیں۔ پہلے اِنہیں ترتیب میں رکھیں، کیونکہ اسکرین شاذ و نادر ہی بتاتی ہے کہ یہ کس مرحلے کی ہے۔
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
دفاتر اور یونیورسٹیوں میں عام 802.1X نیٹ ورک پہلی دو سطریں دھندلی کر دیتے ہیں۔ وہاں Wi-Fi لاگ اِن بذات خود RADIUS سرور کے سامنے شناخت کی جانچ ہے، اور کلائنٹ روٹنگ شناخت پیش کر سکتا ہے جبکہ اصل اکاؤنٹ خفیہ تبادلے کے اندر سفر کرتا ہے۔ تب بھی جانچ نیٹ ورک میں شامل ہونے کے بارے میں ہے؛ یہ ٹنل کی اجازت نہیں دیتی، اور VPN گیٹ وے اِسے کسی چیز کا ثبوت نہیں مانتا۔
ترتیب لیبلوں سے زیادہ اہم ہے۔ کیپٹیو پورٹل اِس لیے ہیں کہ رسائی جوڑنے کے بعد دی جا سکتی ہے، اِس لیے جگہ صفحہ کسی ماہر فراہم کنندہ کے حوالے کر سکتی ہے۔ IETF کا RFC 8952 پورٹل کو اپنا جزو مانتا ہے، اِس لیے نامعلوم ڈومین جانچ کی وجہ ہے، بذات خود دھوکے کا ثبوت نہیں۔ ڈومین کا موازنہ جگہ کی تحریری ہدایات سے اور فیلڈز کا جدول سے کریں۔
دیکھیں پورٹل کیا مانگ سکتا ہے
پورٹل کی فیلڈز حق کے بارے میں ہیں، شناخت کے بارے میں نہیں: کمرے کا نمبر، بکنگ کا خاندانی نام، واؤچر کوڈ، چابی کے غلاف پر چھپا کوڈ، وقتی پاس کے لیے ای میل، شرائط کی منظوری۔ جگہ پہلے ہی جانتی ہے کہ کمرہ کس نے بک کیا، اِس لیے وہ یہ حقائق ملا سکتی ہے بغیر کچھ ایسا سیکھے جو اُسے کہیں اور آپ کی طرح کام کرنے دے۔
اِس فہرست سے آگے کی ہر چیز ٹھہراؤ کی مستحق ہے۔ ہاٹ اسپاٹ صفحہ آپ کے ڈومین پاس ورڈ کی تصدیق نہیں کر سکتا، اور وہ بھی آپ کے VPN کا ایک بار کا کوڈ، ریکوری کوڈ یا نجی چابی تصدیق نہیں کر سکتا، اور اُسے اِن کی خواہش کی کوئی وجہ نہیں۔ واحد جائز استثنا کسی ادارے کا چلایا ہوا نیٹ ورک ہے: دفتر کا مہمان SSID یا کانفرنس کا Wi-Fi آپ کو اُس شناختی فراہم کنندہ کے پاس بھیج سکتا ہے جو آپ پہلے ہی کام کے لیے استعمال کرتے ہیں۔ پھر بھی پہچانا جا سکتا ہے: لاگ اِن ہوسٹ آپ کا روزمرہ ہے، رضامندی کی اسکرین آپ کے کرایہ دار کا نام لیتی ہے، اور بہاؤ نظر آنے والے براؤزر ٹیب میں کھلتا ہے۔
مارکیٹنگ ای میل الگ ہے: سفر کا عرفی نام آپ کی کام کی شناخت دیے بغیر فیلڈ پُر کرتا ہے۔
دیکھیں VPN کلائنٹ اپنی اسناد مانگتا ہے یا نہیں
کلائنٹ صرف وہی مانگتا ہے جس کے لیے اُس کا پروفائل ترتیب دیا گیا ہے، اِس لیے متوقع ونڈو پروفائل کی خصوصیت ہے، اُس نیٹ ورک کی نہیں جس پر آپ اتفاقاً ہیں۔ سرٹیفکیٹ پروفائل عام طور پر پروفائل کا انتخاب دکھاتے ہیں اور پھر خاموشی سے جڑ جاتے ہیں۔ صارف نام اور پاس ورڈ پروفائل دونوں مانگتے ہیں، اکثر ایک بار کے کوڈ کے ساتھ۔ SSO پروفائل آپ کا براؤزر شناختی فراہم کنندہ پر کھولتے ہیں اور ٹوکن کے ساتھ واپس آتے ہیں۔ WireGuard پھر مختلف ہے: یہ آلات کو عوامی چابی سے تصدیق کرتا ہے اور اِس میں صارف لاگ اِن نہیں، اِس لیے WireGuard کا صارف نام اور پاس ورڈ پیش کرنے والی ونڈو WireGuard کو بیان نہیں کرتی۔
سفر سے پہلے پروفائل پڑھیں۔ OpenVPN میں auth-user-pass بتاتا ہے کہ پاس ورڈ کی درخواست متوقع ہے، جبکہ cert، key یا pkcs12 کا مطلب ہے کہ سرٹیفکیٹ کو کام کرنا چاہیے۔ اگر عام طور پر بغیر درخواست جڑنے والا پروفائل اچانک پاس ورڈ مانگے، تو اُس پروفائل پر شک کریں جو اپنا سرٹیفکیٹ لوڈ نہ کر سکا یا کسی اور طریقے پر گر گیا۔ درخواست ظاہر ہونے والی کسی بھی ونڈو میں آپ کا کام کا پاس ورڈ لکھنے کی دعوت نہیں۔
کوئی جائز VPN کلائنٹ کمرے کا نمبر، پورٹل واؤچر یا Wi-Fi پاس فریز تصدیق کے اِن پٹ کے طور پر نہیں مانگتا۔ جب ایسا ہو، تو یا کلائنٹ وہ نہیں جو وہ دعویٰ کرتا ہے، یا کیپٹیو پورٹل ٹنل بننے سے پہلے ٹریفک روک رہا ہے اور آپ لاگ اِن جیسا دکھنے والا HTML صفحہ پڑھ رہے ہیں۔
اِن پانچ شرطوں پر رُکیں
یہ وہ مقامات ہیں جہاں میں ممکنہ متبادل راستے کے ساتھ آگے بڑھنے کے بجائے رُکتا ہوں۔ ہر ایک کو جانچنا سستا اور غلطی کرنا مہنگا ہے۔
- پورٹل یا SSO صفحے پر سرٹیفکیٹ یا TLS کی وارننگ دکھائی دیتی ہے۔ نیٹ ورک تک پہنچنے کے لیے اُس پر کلک کر کے آگے نہ بڑھیں۔
- صفحہ ایسا راز مانگتا ہے جسے صرف VPN گیٹ وے یا شناختی فراہم کنندہ تصدیق کر سکتا ہے: ڈومین پاس ورڈ، ایک بار کا کوڈ، ریکوری کوڈ، نجی چابی۔
- ڈومین جگہ کی چھپی ہوئی ہدایات یا اُس لاگ اِن ہوسٹ سے مطابقت نہیں رکھتا جو آپ کا ادارہ اپنی خدمات کے لیے دستاویز کرتا ہے۔
- آپ سے ایسا روٹ سرٹیفکیٹ، کنفیگریشن پروفائل یا مددگار ایپلیکیشن انسٹال کرنے کو کہا جا رہا ہے جو آپ کے ڈیوائس مینجمنٹ سے نہیں آتا۔
- ایسی MFA منظوری آتی ہے جو آپ نے شروع نہیں کی، یا VPN کلائنٹ ہوٹل کی اسناد مانگتا ہے۔
متبادل کوئی دوسرا پاس ورڈ نہیں۔ فون ہاٹ اسپاٹ استعمال کریں، استقبالیہ سے نیٹ ورک کا درست نام اور رسائی کا طریقہ پوچھیں، اور صفحے کی اطلاع نیٹ ورک چلانے والے یا اپنے IT ڈیسک کو دیں۔ اِن میں سے کسی کو بھی ایسے صفحے کے خلاف اسناد جانچنے کی ضرورت نہیں جسے آپ منسوب نہیں کر سکتے۔
ناکامی کو درست مرحلے سے منسوب کریں
دونوں مراحل گزرنے کے بعد بھی ناکامیاں ہوتی ہیں، اور خرابی عام طور پر مرحلہ بتاتی ہے اگر ترتیب سے پڑھیں: جڑنا، پتہ دینا، پورٹل کی اجازت، ٹنل قائم کرنا، پھر اندرونی وسیلہ۔ پورٹل کوڈ کی میعاد ختم ہونے پر VPN پاس ورڈ بدلنا وقت ضائع کرتا ہے اور اصل مسئلہ اپنی جگہ چھوڑ دیتا ہے۔
چند جانچیں مراحل کو الگ کرتی ہیں۔ پورٹل لاگ اِن کے بعد ایک عام عوامی HTTPS صفحہ مانگیں۔ اگر اُس کی بجائے پورٹل واپس آئے، تو اُس تہہ میں اجازت کبھی مکمل نہیں ہوئی۔ اگر VPN کلائنٹ بتائے کہ گیٹ وے تک نہیں پہنچ سکتا، تو مسئلہ ٹنل کے نیچے ہے: پورٹل سیشن، ناموں کا حل، یا ایسا نیٹ ورک جو پورٹ روکتا ہے۔ اگر ٹنل اُٹھے اور ایک اندرونی ہوسٹ نام ناکام ہو، تو نجی نیٹ ورک کے اندر ناموں کا حل یا پالیسی بہتر شبہ ہے۔
پورٹل سیشن بھی ٹنل سے آزادانہ ختم ہوتے ہیں۔ جب جگہ رسائی واپس لے، تو قائم شدہ VPN کنکشن گر جاتا ہے اگرچہ اُس کی اسناد کبھی غلط نہ تھیں۔ پورٹل کو دوبارہ اجازت دیں، پھر VPN دوبارہ جوڑیں اور اُسے دوبارہ گفت و شنید کرنے دیں۔ تب VPN پاس ورڈ گھمانا کچھ درست نہیں کرتا اور آپ کو باہر مقفل کر سکتا ہے۔
ہر راز صرف اُس نظام کو دیں جو اُسے تصدیق کر سکے، اور جدول سے نہ ملنے والی درخواست کو بچنے کا قدم نہیں بلکہ رُکنے کا اشارہ مانیں۔ اگر دونوں مراحل گزر جائیں اور ٹنل پھر بھی انکار کرے، تو کوئی بھی اسناد بدلنے سے پہلے کلائنٹ کی درست خرابی محفوظ کریں۔