在让工作凭证靠近之前先测试热点

热点在给出网络之前先给出地址，而信任正是在这段空档里被决定的。设备关联、请求地址，随后每个出站请求都会被拦截，直到门户声明会话已获授权。这个机制解释了为什么在并不存在真正连接时，页面却看起来正在加载。在任何工作凭证触及它之前，用无害的东西测试这段空档。

热点对你的第一个请求做了什么

关联为设备提供链路，DHCP 则给它一个地址、一个网关，通常还有场地自有的 DNS 服务器。在授权完成之前，网关会丢弃或重定向出站流量，而许多门户对所有域名都用自身地址应答 DNS。这就是为什么一次查询看起来成功了：应答的是门户，而不是你请求的网站。网络按设计运行；它只是还不是互联网。

第一个 HTTP 请求通常会收到指向门户的重定向，操作系统可能会替你打开它。HTTPS 无法这样重定向，所以它要么失败要么挂起，浏览器显示证书错误或超时。这一差别具有诊断意义：HTTP 重定向是门户在说话，而到无关主机的 TLS 失败则是另一回事。围墙花园——只为支付或登录放行少数域名——会产生第三种模式。

登录前先确认网络

通过并非网络本身的渠道，与场地确认 SSID 和登录方式。门户索要企业密码、卡号和电子邮件地址在做三件不同的事，其中只有后两件对访客网络是常见的。优先使用操作系统的强制门户提示，它通过已知端点检测重定向，而不是信任出现的任何页面。如果场地无法描述自己的门户，那是等待的理由，而不是临场发挥的理由。

登录门户时的证书警告不是可以点过去的步骤。门户不需要冒充无关主机来验证你。

做能证明访问的最小检查

完成正当授权，然后请求一个你此前没有加载过的普通公开 HTTPS 页面，这样答案不可能来自缓存。如果失败，记录到底哪一步失败：名称查询、连接超时、证书错误还是服务拒绝。这四项属于不同层次，把它们写下来可以阻止下一个人凭感觉重测。然后连接预期的 VPN，并请求一个只有它才能访问的资源。

把测试做小。在计量连接上下载测速文件，回答的是没人问过的问题，还可能让用户花钱。带响应头的回答就足以证明可达，而且不会在按吉字节计费的链路上拉取兆字节。

如果普通访问正常而隧道不通，那是与从未授权的网络不同的调查。把两个结果分开保留，而不是同时改动好几项隐私设置。

把私密工作排除在比较之外

设备上的每个应用都是潜在的观察者，而强制门户正是它们全都试图连上各自服务器的时刻。关掉能关的，并把常开的受管设备当作策略问题而非技术问题：使用获批的方法进行比较，而不是移除让它受管的保护。如果设备完全禁止隧道外流量，就在另一台不敏感的设备上做检查。这项练习的目的，是在不向网络暴露凭证的前提下了解它。

不要为了诊断场地而抓取他人的流量，任何诊断抓包都应限制在自己的设备和会话之内。在把抓包附到工单之前，先检查地址和标识字段，因为场地的网络不是你的证据柜。

决定结果允许你做什么

可能的结果有三种：隧道可用时的完整访问、隧道故障时只能访问门户，或者完全无法访问。每一种的下一步都不同，而测试的价值在于在改设置之前知道自己处在哪一种。完整访问意味着工作可以经隧道继续；只能访问门户说明隧道的端口或协议被封，所以答案是换传输方式或换网络；无法访问则说明场地今天支撑不了这项任务。始终只尝试一种协议的设备分辨不出这些差别。

记下 SSID、结果和时间，好让同一场地的下一个人从证据出发。Apple 的强制门户网络指南描述了提示背后的检测行为，而这正是责怪 VPN 之前值得理解的部分。