Wi-Fi portaliga kirishni VPN kirishidan ajrating
Ikki xil tizim bir xil narsani so'raydi: kirish. Portal mahalliy ruxsatni, VPN esa xususiy tarmoqqa kirishni boshqaradi. Har bir oynada so'rang: bu sirni haqiqatan kim tekshira oladi?
Ommaviy tarmoqda foydali narsaga yetishdan oldin ikki xil tizim sizdan kirishni so'raydi: joyning Wi-Fi tarmog'i va sizning VPN darvozangiz. Ekranda ular bir xil ko'rinadi va butunlay boshqa narsalarga ruxsat beradi. Portal bu qurilma mahalliy tarmoqdan foydalana oladimi-yo'qmi, shuni hal qiladi; VPN esa boshqa joyda xususiy tarmoqqa yeta olasizmi-yo'qmi, shuni hal qiladi. Men ularni har bir oynada bitta savol berib ajrataman: bu sirni haqiqatan kim tekshira oladi? Quyida mehmonxonalar, aeroportlar va konferensiya joylarida qo'llaydigan tekshiruv ro'yxatim, yozishni to'xtatadigan joylar bilan birga.
Har bir kirishni uni tekshiruvchi xizmatga bog'lang
Bitta mehmonxona ulanishi to'rtta alohida tekshiruvni o'z ichiga olishi mumkin va ulardan faqat ba'zilari sizdan ma'lumot so'raydi. Avval ularni tartibga soling, chunki ekran qaysi bosqichga tegishli ekanini kamdan-kam aytadi.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Ofislar va universitetlarda keng tarqalgan 802.1X tarmoqlari birinchi ikki qatorni xiralashtiradi. U yerda Wi-Fi kirishining o'zi RADIUS serveriga qarshi shaxsni tekshirish, mijoz esa marshrutlash shaxsini taqdim etishi mumkin, haqiqiy hisob esa shifrlangan almashinuv ichida harakatlanadi. Shunda ham tekshiruv tarmoqqa qo'shilish haqida; u tunnelga ruxsat bermaydi va VPN darvozasi uni hech narsaning isboti deb qabul qilmaydi.
Tartib yorliqlardan muhimroq. Tutib olish portallari mavjud, chunki ruxsat ulanishdan keyin berilishi mumkin, shu sababli joy sahifani ixtisoslashgan provayderga topshirishi mumkin. IETF ning RFC 8952 hujjati portalni o'z komponenti deb biladi, shuning uchun notanish domen tekshirish uchun sabab, o'zi firibgarlik isboti emas. Domenni joyning yozma ko'rsatmalari bilan, maydonlarni esa jadval bilan solishtiring.
Portal nima so'rashi mumkinligini tekshiring
Portal maydonlari huquq haqida, shaxs haqida emas: xona raqami, bron familiyasi, vaucher kodi, kalit qopqog'iga bosilgan kod, muddatli ruxsatnoma uchun pochta, shartlarni qabul qilish. Joy xonani kim bron qilganini allaqachon biladi, shuning uchun boshqa joyda sizning nomingizdan harakat qilishga imkon beradigan hech narsani o'rganmasdan bu faktlarni moslashtira oladi.
Bu ro'yxatdan tashqari har qanday narsa pauzaga loyiq. Hotspot sahifasi domen parolingizni tekshira olmaydi ham sizning VPN bir martalik kodingizni, tiklanish kodi yoki shaxsiy kalitni tekshira olmaydi va ularni so'rashga asosi yo'q. Yagona qonuniy istisno tashkilot boshqaradigan tarmoq: ofis mehmon SSID si yoki konferensiya Wi-Fi sizni ish uchun allaqachon ishlatadigan shaxs provayderiga yo'naltirishi mumkin. Buni baribir ajratish mumkin: kirish xosti sizning kundalik xostingiz, rozilik ekrani ijarachiningizni nomlaydi va oqim ko'rinadigan brauzer yorlig'ida ochiladi.
Marketing pochtasi alohida: sayohat taxallusi ish shaxsiyatingizni bermasdan maydonni to'ldiradi.
VPN mijozi o'z ma'lumotlarini so'rayotganini tekshiring
Mijoz faqat profili sozlangan narsani so'raydi, shuning uchun kutilgan oyna profil xususiyati, siz tasodifan turgan tarmoqning xususiyati emas. Sertifikat profillari odatda profil tanlovini ko'rsatib, keyin jimgina ulanadi. Foydalanuvchi nomi va parol profillari ikkalasini ham so'raydi, ko'pincha bir martalik kod bilan. SSO profillari brauzeringizni shaxs provayderida ochib, token bilan qaytadi. WireGuard yana boshqacha: qurilmalarni ochiq kalit bilan autentifikatsiya qiladi va foydalanuvchi kirishi yo'q, shuning uchun WireGuard foydalanuvchi nomi va parolini taklif qiluvchi oyna WireGuard ni tasvirlamaydi.
Sayohatdan oldin profilni o'qing. OpenVPN ichida auth-user-pass parol so'rovi kutilayotganini aytadi, cert, key yoki pkcs12 esa ishni sertifikat bajarishi kerakligini bildiradi. Odatda so'rovsiz ulanadigan profil to'satdan parol so'rasa, sertifikatini yuklay olmagan yoki boshqa usulga o'tgan profildan shubhalaning. So'rov paydo bo'lgan har qanday oynaga ish parolingizni yozish taklifi emas.
Hech bir qonuniy VPN mijozi xona raqamini, portal vaucherini yoki Wi-Fi parol iborasini autentifikatsiya kiritmasi sifatida so'ramaydi. Bu sodir bo'lganda, yo mijoz o'zi aytgan narsa emas, yo tutib olish portali tunnel shakllanishidan oldin trafikni ushlab turibdi va siz kirishga o'xshab bezatilgan HTML sahifani o'qiyapsiz.
Ushbu besh shartda to'xtang
Bu men ishonchli aylanma yo'l bilan davom etish o'rniga to'xtaydigan nuqtalar. Har birini tekshirish arzon, xato qilish qimmat.
- Portalda yoki SSO sahifasida sertifikat yoki TLS ogohlantirishi paydo bo'ladi. Tarmoqqa yetish uchun uni bosib o'tib ketmang.
- Sahifa faqat VPN darvozasi yoki shaxs provayderi tekshira oladigan sirni so'raydi: domen paroli, bir martalik kod, tiklanish kodi, shaxsiy kalit.
- Domen joyning yozma ko'rsatmalariga yoki tashkilotingiz o'z xizmatlari uchun hujjatlashtirgan kirish xostiga mos kelmaydi.
- Sizdan qurilmalar boshqaruvidan kelmaydigan ildiz sertifikati, konfiguratsiya profili yoki yordamchi dastur o'rnatish so'ralmoqda.
- Siz boshlanmagan MFA tasdig'i keladi yoki VPN mijozi mehmonxona ma'lumotlarini so'raydi.
Muqobil boshqa parol emas. Telefon hotspotidan foydalaning, qabulxonadan tarmoqning aniq nomi va kirish usulini so'rang va sahifa haqida tarmoqni boshqaruvchiga yoki IT xizmatingizga xabar bering. Bularning hech biri siz bog'lay olmaydigan sahifaga qarshi ma'lumotlarni sinashni talab qilmaydi.
Nosozlikni to'g'ri bosqichga bog'lang
Ikkala bosqich o'tgandan keyin ham nosozliklar bo'ladi va xato odatda bosqichni nomlaydi, agar tartib bilan o'qisangiz: ulanish, manzil berish, portal avtorizatsiyasi, tunnel o'rnatish, keyin ichki resurs. Portal kodi muddati o'tgani uchun VPN parolini almashtirish vaqtni yo'qotadi va haqiqiy muammoni joyida qoldiradi.
Bir necha sinov bosqichlarni ajratadi. Portalga kirgandan so'ng oddiy ommaviy HTTPS sahifasini so'rang. Uning o'rniga portal qaytsa, o'sha qatlamda avtorizatsiya hech qachon tugallanmagan. VPN mijozi darvozaga yeta olmasligini bildirsa, muammo tunnel ostida: portal sessiyasi, nomlarni hal qilish yoki portni bloklaydigan tarmoq. Tunnel ko'tarilib bitta ichki xost nomi muvaffaqiyatsiz bo'lsa, xususiy tarmoq ichidagi nomlarni hal qilish yoki siyosat yaxshiroq gumondor.
Portal sessiyalari ham tunneldan mustaqil tugaydi. Joy ruxsatni bekor qilganda, ma'lumotlari hech qachon xato bo'lmagan bo'lsa ham o'rnatilgan VPN ulanishi uziladi. Portalni qayta avtorizatsiya qiling, keyin VPN ni qayta ulang va qayta kelishib olsin. O'shanda VPN parolini aylantirish hech narsani tuzatmaydi va sizni tashqarida qulflashi mumkin.
Har bir sirni faqat uni tekshira oladigan tizimga bering va jadvalga to'g'ri kelmaydigan so'rovni chetlab o'tiladigan qadam emas, to'xtash belgisi deb biling. Ikkala bosqich o'tib, tunnel hali ham rad etsa, har qanday ma'lumotni almashtirishdan oldin mijozning aniq xatosini qayd eting.