Tách đăng nhập cổng Wi-Fi khỏi đăng nhập VPN
Hai hệ thống khác nhau yêu cầu cùng một việc: đăng nhập. Cổng kiểm soát truy cập cục bộ; VPN kiểm soát truy cập mạng riêng. Hỏi ở mỗi cửa sổ: ai thực sự có thể xác minh bí mật này?
Hai hệ thống khác nhau yêu cầu bạn đăng nhập trước khi đến được điều gì hữu ích trên mạng công cộng: Wi-Fi của địa điểm và cổng VPN của bạn. Chúng trông giống nhau trên màn hình và cho phép những thứ hoàn toàn khác nhau. Cổng quyết định thiết bị này có được dùng mạng cục bộ hay không; VPN quyết định bạn có đến được một mạng riêng ở nơi khác hay không. Tôi tách chúng bằng cách hỏi một câu ở mỗi cửa sổ: ai thực sự có thể xác minh bí mật này? Sau đây là danh sách kiểm tra tôi dùng ở khách sạn, sân bay và địa điểm hội nghị, kể cả những điểm tôi ngừng gõ.
Gắn mỗi lần đăng nhập với dịch vụ kiểm tra nó
Một kết nối khách sạn có thể gồm bốn lần kiểm tra riêng biệt, và chỉ một số yêu cầu bạn nhập. Hãy xếp chúng theo thứ tự trước, vì màn hình hiếm khi nói nó thuộc giai đoạn nào.
| Stage | Who checks it | What you give it | What it proves |
|---|---|---|---|
| Wi-Fi association | The access point | WPA2 passphrase or 802.1X credentials | That the device may join this SSID |
| Portal authorization | The venue or its portal provider | Room number, booking name, voucher, email or access code | That a guest may use local access |
| VPN authentication | Your gateway or identity provider | Client certificate, password, one-time code or SSO approval | That the user or device may enter the private network |
| Application login | Each internal service | That service's own account | That you may use that service |
Các mạng 802.1X, phổ biến ở văn phòng và trường đại học, làm mờ hai dòng đầu. Ở đó, đăng nhập Wi-Fi tự nó là kiểm tra danh tính với máy chủ RADIUS, và ứng dụng có thể trình bày danh tính định tuyến trong khi tài khoản thật di chuyển bên trong trao đổi được mã hóa. Ngay cả khi đó, kiểm tra là về việc tham gia mạng; nó không cấp quyền cho đường hầm, và cổng VPN không chấp nhận nó làm bằng chứng cho bất cứ điều gì.
Thứ tự quan trọng hơn nhãn. Cổng captive tồn tại vì quyền truy cập có thể được cấp sau khi kết nối, nên địa điểm có thể giao trang cho một nhà cung cấp chuyên dụng. RFC 8952 của IETF coi cổng là thành phần riêng của nó, vì vậy một miền lạ là lý do để kiểm tra, không phải bằng chứng gian lận tự thân. So sánh miền với hướng dẫn bằng văn bản của địa điểm, và các trường với bảng.
Kiểm tra cổng được phép hỏi gì
Các trường của cổng liên quan đến quyền, không phải danh tính: số phòng, họ trong đặt phòng, mã voucher, mã in trên vỏ chìa khóa, email cho giấy phép tạm thời, chấp nhận điều khoản. Địa điểm đã biết ai đặt phòng, nên có thể đối chiếu những dữ kiện đó mà không học được gì cho phép nó hành động như bạn ở nơi khác.
Bất cứ điều gì ngoài danh sách đó đều đáng dừng lại. Một trang hotspot không thể xác minh mật khẩu miền của bạn, và nó cũng không thể xác minh mã dùng một lần VPN, mã khôi phục hay khóa riêng của bạn, và không có lý do để muốn chúng. Ngoại lệ hợp pháp duy nhất là mạng do một tổ chức quản lý: SSID khách của văn phòng hoặc Wi-Fi hội nghị có thể chuyển bạn đến nhà cung cấp danh tính mà bạn đã dùng cho công việc. Nó vẫn phân biệt được: máy chủ đăng nhập là máy chủ hằng ngày của bạn, màn hình đồng ý nêu tên người thuê của bạn, và luồng mở trong một tab trình duyệt nhìn thấy được.
Email tiếp thị là riêng: một bí danh du lịch điền vào trường mà không trao danh tính công việc của bạn.
Kiểm tra xem ứng dụng VPN có muốn thông tin đăng nhập của riêng nó
Ứng dụng yêu cầu đúng những gì hồ sơ của nó được cấu hình, nên cửa sổ mong đợi là thuộc tính của hồ sơ, không phải của mạng bạn tình cờ ở. Hồ sơ chứng chỉ thường hiển thị lựa chọn hồ sơ rồi kết nối lặng lẽ. Hồ sơ tên người dùng và mật khẩu yêu cầu cả hai, thường kèm mã dùng một lần. Hồ sơ SSO mở trình duyệt của bạn tại nhà cung cấp danh tính và quay lại với token. WireGuard lại khác: nó xác thực thiết bị bằng khóa công khai và không có đăng nhập người dùng, nên một cửa sổ đề nghị tên người dùng và mật khẩu WireGuard không mô tả WireGuard.
Đọc hồ sơ trước khi đi. Trong OpenVPN, auth-user-pass cho bạn biết rằng có thể sẽ có yêu cầu mật khẩu, còn cert, key hoặc pkcs12 nghĩa là chứng chỉ phải làm việc đó. Nếu một hồ sơ thường kết nối không cần yêu cầu bỗng đòi mật khẩu, hãy nghi ngờ hồ sơ không tải được chứng chỉ hoặc đã rơi sang phương thức khác. Yêu cầu không phải lời mời gõ mật khẩu công việc vào bất kỳ cửa sổ nào đã hiện ra.
Không ứng dụng VPN hợp pháp nào yêu cầu số phòng, voucher của cổng hay cụm mật khẩu Wi-Fi làm đầu vào xác thực. Khi điều đó xảy ra, hoặc ứng dụng không phải như nó tự nhận, hoặc một cổng captive đang chặn lưu lượng trước khi đường hầm hình thành và bạn đang đọc một trang HTML được tạo kiểu như đăng nhập.
Dừng ở năm điều kiện này
Đây là những điểm tôi dừng lại thay vì tiếp tục với một đường vòng có vẻ hợp lý. Mỗi điểm đều rẻ để kiểm tra và đắt khi sai.
- Một cảnh báo chứng chỉ hoặc TLS xuất hiện trên cổng hoặc trên trang SSO. Đừng bấm qua nó để vào mạng.
- Trang yêu cầu một bí mật mà chỉ cổng VPN hoặc nhà cung cấp danh tính mới xác minh được: mật khẩu miền, mã dùng một lần, mã khôi phục, khóa riêng.
- Miền không khớp với hướng dẫn in của địa điểm hoặc với máy chủ đăng nhập mà tổ chức của bạn ghi lại cho các dịch vụ của chính nó.
- Bạn được yêu cầu cài một chứng chỉ gốc, hồ sơ cấu hình hoặc ứng dụng hỗ trợ không đến từ việc quản lý thiết bị của bạn.
- Một phê duyệt MFA đến mà bạn không khởi tạo, hoặc ứng dụng VPN đòi thông tin đăng nhập của khách sạn.
Phương án thay thế không phải một mật khẩu khác. Dùng hotspot điện thoại, hỏi lễ tân tên chính xác của mạng và cách truy cập, và báo trang đó cho người quản lý mạng hoặc bộ phận IT của bạn. Không điều nào trong đó đòi kiểm tra thông tin đăng nhập với một trang bạn không thể quy nguồn.
Quy lỗi cho đúng giai đoạn
Sau khi cả hai giai đoạn qua, lỗi vẫn xảy ra, và lỗi thường nêu tên giai đoạn nếu đọc theo thứ tự: kết nối, gán địa chỉ, cấp quyền cổng, thiết lập đường hầm, rồi tài nguyên nội bộ. Đổi mật khẩu VPN vì mã cổng hết hạn thì mất thời gian và để nguyên vấn đề thật.
Vài phép thử tách các giai đoạn. Sau khi đăng nhập cổng, yêu cầu một trang HTTPS công cộng thông thường. Nếu cổng quay lại thay vì trang đó, việc cấp quyền chưa bao giờ hoàn tất ở lớp đó. Nếu ứng dụng VPN báo không đến được cổng, vấn đề nằm dưới đường hầm: phiên cổng, phân giải tên hoặc mạng chặn cổng. Nếu đường hầm lên và một tên máy chủ nội bộ thất bại, phân giải tên hoặc chính sách trong mạng riêng là nghi phạm tốt hơn.
Phiên cổng cũng hết hạn độc lập với đường hầm. Khi địa điểm thu hồi quyền truy cập, kết nối VPN đã thiết lập sụp đổ dù thông tin đăng nhập của nó chưa bao giờ sai. Cấp quyền lại cho cổng, sau đó kết nối lại VPN và để nó thương lượng lại. Xoay mật khẩu VPN lúc đó không sửa được gì và có thể khóa bạn ở ngoài.
Chỉ trao mỗi bí mật cho hệ thống có thể xác minh nó, và coi một yêu cầu không khớp với bảng là dấu hiệu dừng chứ không phải bước cần lách. Nếu cả hai giai đoạn qua mà đường hầm vẫn từ chối, hãy ghi lại lỗi chính xác của ứng dụng trước khi thay đổi bất kỳ thông tin đăng nhập nào.