Cổng captive và VPN bế tắc: bên nào động trước

Cổng của khách sạn muốn thấy một trình duyệt trước khi cho bất kỳ lưu lượng nào đi qua. VPN của bạn từ chối cho lưu lượng đi qua trước khi đường hầm của nó hoạt động. Mỗi bên đang chờ bên kia, và cả hai đều hành xử đúng như được cấu hình. Chỉ hai trình tự phá được thế bế tắc này, và chúng khác nhau ở chỗ để lộ gì trong khi khoảng trống còn mở. Hãy chọn một cách có chủ đích thay vì bật tắt bất kỳ thiết lập nào khiến trình duyệt tải được.

Hai trình tự, một trong hai hiệu quả

Hoặc mạng tiếp nhận bạn trước rồi đường hầm đến sau, hoặc bạn mở một ngoại lệ hẹp cho cổng rồi khôi phục chặn sau đó. Cả hai đều chính đáng. Điều không chính đáng là tắt chặn rồi quên bật lại.

Hai trình tự không tốt như nhau trong mọi tình huống. Một thiết bị được quản lý có quy trình tiếp nhận bắt buộc có một câu trả lời, và một laptop cá nhân trên Wi-Fi khách sạn có câu trả lời khác. Việc so sánh là về cái mà mỗi lựa chọn từ bỏ.

Hãy bắt đầu bằng việc biết trình tự nào mà ứng dụng và chính sách thiết bị của bạn thực sự hỗ trợ.

Lựa chọn A: tiếp nhận mạng trước, rồi kết nối đường hầm

Xác nhận tên mạng mong đợi, rồi dùng lời nhắc đăng nhập của hệ điều hành hoặc luồng captive portal mà ứng dụng hỗ trợ. Trên iPhone và iPad, việc đóng bảng đăng nhập có thể làm rớt kết nối liên kết hoặc giữ nó lại kèm cảnh báo rằng mạng không có internet, và đó là những điểm xuất phát khác nhau. Hoàn tất bước tiếp nhận trước, rồi mới dựng đường hầm. Trình tự này giữ nguyên chặn trong suốt thời gian đường hầm chưa lên.

Cái bẫy là một cổng cấp quyền truy cập internet không hề xác thực tài khoản VPN của bạn. Đường hầm vẫn phải kết nối sau đó, và nó có thể thất bại vì lý do của chính nó. Tiếp nhận và xác thực là hai sự kiện riêng biệt mà người ta gộp làm một.

Nếu việc tiếp nhận cứ hết hạn, hãy ghi lại xem cổng có hỏi lại không, mạng có rớt không, hay chỉ VPN thất bại.

Lựa chọn B: một ngoại lệ đăng nhập hẹp, rồi khôi phục chặn

Giải pháp thay thế là cho phép lưu lượng của cổng trong khi chặn vẫn có hiệu lực ở mọi chỗ khác, đăng nhập, rồi gỡ ngoại lệ. Ngoại lệ phải hẹp: một đích hoặc một dải địa chỉ, trong thời gian đăng nhập, với chặn được khôi phục ngay sau đó. Một cửa sổ tạm thời rộng chính là cách một lần đăng nhập hai phút biến thành cả một buổi chiều lưu lượng không được bảo vệ.

Hãy biết ứng dụng của bạn thực sự triển khai gì. OpenVPN Connect trên macOS ghi nhận việc phát hiện captive portal tách riêng khỏi tùy chọn chặn truy cập internet khi VPN bị tạm dừng hoặc đang kết nối lại. Phát hiện một cổng và cho phép lưu lượng của nó là những việc liên quan, không phải những lời hứa thay thế được cho nhau.

Trên thiết bị được quản lý, hãy theo quy trình tiếp nhận đã cấu hình thay vì tự nghĩ ra một ngoại lệ.

Khoảng trống để lộ gì, và với ai

Phần thú vị của thế bế tắc không phải là tab trình duyệt trước mặt bạn. Mà là mọi thứ khác bắt đầu dùng mạng ngay khi kết nối xuất hiện: thư, đồng bộ ảnh, kiểm tra cập nhật, một ứng dụng chat kết nối lại, một tác nhân sao lưu tiếp tục chạy.

Một cửa sổ trình duyệt im lặng không nói cho bạn biết gì về những thứ đó. Hãy đóng hoặc tạm dừng công việc nhạy cảm trước mọi khoảng truy cập trực tiếp được cho phép, và kiểm tra những gì chạy khi đăng nhập. Trên Android, VPN luôn bật kết hợp với việc chặn các kết nối bên ngoài VPN mới là biện pháp kiểm soát liên quan, và một ngoại lệ tuyến tùy tiện không thay thế cho việc hiểu nó.

Đây là chỗ duy nhất mà lời khuyên cũ về những cửa sổ truy cập tạm thời vẫn còn đúng. Mối lo là đúng ngay cả khi cơ chế thì không.

Cách chọn và cách xác nhận

Chọn Lựa chọn A khi thiết bị hoặc ứng dụng hỗ trợ một luồng cổng thực sự, vì nó giữ chặn nguyên vẹn suốt quá trình. Chọn Lựa chọn B khi không thể đến cổng bằng cách nào khác, và hãy coi ngoại lệ là một thay đổi có thời hạn với người chịu trách nhiệm.

Sau đó xác nhận trình tự chứ không phải kết quả:

curl -sS --max-time 8 https://example.com -o /dev/null -w '%{http_code}\n'

Hoàn tất tiếp nhận, thiết lập hồ sơ dự định, khôi phục mọi biện pháp chặn đã tạm thay đổi, rồi thực hiện một yêu cầu mới vô hại và xác nhận rằng nó đi theo đường hầm. Một yêu cầu thành công vì chặn vẫn còn tắt không chứng minh được gì về đường hầm.

Đổi đầu ra VPN sẽ không gia hạn một phiên khách sạn đã hết hạn. Đó là những sự kiện khác nhau, và nhầm lẫn chúng khiến bạn tìm sai chỗ.