De har konfigurerat de bärbara datorerna för att snurra upp en VPN-anslutning och bara prata med "hemmabasen" efter att de har gått i nätverket. Det betyder att om det finns en lokal "captive portal" som kräver att du anger autentiseringsuppgifter, kommer du inte att kunna använda den, för det skulle kräva att man undgår VPN.

(Det är en kyckling- och äggsak . Ingen VPN, ingen möjlighet att nå portalen - ingen portal, ingen möjlighet att snurra upp VPN!)

Det är säkrare eftersom de säkerställer att, oavsett vilken anslutning du har, någon nätverkstrafik du skickar går genom ditt företags nätverk, ditt företags kontroller och är inte föremål för avlyssning eller manipulation av någon annan part.

Det bryter tyvärr fallet med Wireless med en "captive portal", men möjliggör det fall skulle sänka deras säkerhet genom att låta din maskin prata med godtyckliga maskiner direkt snarare än via VPN.

"eduroam" -tjänsten som du nämner i kommentaren säger uttryckligen att de gör inte ha en intern portal, men använd WPA-Enterprise baserat på 802.1X:

Använder eduroam en webbportal för autentisering?

Nej. Webportal, Captive Portal eller Splash-Screen-baserade autentiseringsmekanismer är inte ett säkert sätt att acceptera eduroam-referenser .... eduroam kräver användning av 802.1X ...

802.1X är typ av autentisering du måste ange för att konfigurera din maskin för att ansluta till nätverket, så det här fallet är en som din IT-policy uttryckligen säger att de tillåter:

om den är inställd så att du behöver ett lösenord för att ansluta till WiFi (och det här lösenordet ges till dig av anläggningen), sedan ska du vara OK

Faktum är att eduroam verkar vara mycket väl anpassad till din IT policy - de misstro båda "den dåliga säkerheten" som fångas av portaler.

Baserat på redigeringen av den ursprungliga frågan:

Jag försöker ansluta till eduroam, men jag kan inte göra det med min organisations bärbara dator. När jag använder en persondator ber det mig om ett användarnamn och lösenord, precis som ett vanligt wifi-nätverk ber om lösenord.

Det tyder på att din organisations bärbara dator helt enkelt inte uppmanar dig för att ansluta till nya nätverk på samma sätt som din persondator är. Detta kan bero på olika operativsystem eller olika policyer som tillämpas på de två datorerna. Du kanske bara vill be din IT-grupp om hjälp med att konfigurera 802.1X för anslutning till eduroam-nätverket. genom att använda det nyckelordet blir det tydligt för dem att du försöker göra något de tillåter.

När du först ansluter till vissa webbplatser, kräver de att du ger dem en e-postadress eller någon annan datadel innan du kan använda deras tjänst. Denna sida kallas en intern portal.

Din företags bärbara dator är inställd så att när den upptäcker en internetanslutning ansluter den tillbaka till ditt företags VPN och sedan ansluts därifrån. I de flesta situationer (scenarier 1 och 2 i din fråga) kan du ansluta till wifi med ett lösenord, eller öppna wifi, tunnel till ditt företags VPN och sedan ansluta ut igen - allt görs med hjälp av wifi du ansluter till.

Men i situation 3 - kan du landa på en intern webbsida, vilket kräver att du först matar in en del data för att kunna ansluta. Din bärbara dator är dock utformad på ett sådant sätt att du måste ansluta till företagets VPN först. Vilket innebär att du inte kan ansluta till VPN eftersom du inte har angett några autentiseringsuppgifter på en intern portal och du kan inte ange autentiseringsuppgifterna eftersom du inte har anslutit till VPN ännu.

Förhoppningsvis svarar detta på din fråga lite bättre än min tidigare kommentar. Lämna en kommentar här så uppdaterar jag detta om du har fler frågor.

redigera: Bara för att lägga till anledningen till att ett företag kan ha den här typen av inställningar är att de kan se till att all trafik passerar deras VPN och låter dem genomdriva andra policyer, dvs. Acceptabel användning etc. Se @gowenfawr svar för mer info ovan eftersom han har förklarat det extremt bra.

Det finns redan bra svar på förståelsen för policyn, men jag ska prata kort om eduroams säkerhets- och anslutningsprofiler för att se till att alla baser täcks i termer av svaret. Jag har arbetat för två universitet som erbjuder eduroam och har spenderat mycket tid på att arbeta med det.

Eduroam är ett globalt nätverk av universitet och andra utbildningsinstitutioner som samarbetar för att ge medlemmar i en institution tillgång till nätverksresurser vid en annan partnerinstitution.

Autentisering till eduroam görs via 802.1x-protokollet (med MS-CHAP v2 vanligtvis fas 2-autentisering, åtminstone enligt min erfarenhet). Det är här AP / Controller använder RADIUS för att prata med RADIUS-servern på heminstitutionen. Förutsatt att allt är bra får klienten ansluta.

Kryptering av de trådlösa paketen från maskinen till AP görs med WPA2-kryptering (företag, därmed 802.1x-autentisering).

En av de största frågorna jag har sett med eduroam-anslutningsprofiler är när operativsystemet skickar inloggad användares autentiseringsuppgifter automatiskt (detta är standard i Windows 7 och nedan ... Jag tror att de har ändrat detta i Windows 8). Jag har också sett ett problem där Windows ibland försöker ansluta till maskinkontot, vilket vanligtvis inte är godkänt av universitetet (endast användarkonton är).

När du är ansluten till eduroam, kommer ditt företag att tunnelera ut data via sin VPN-leverantör. Beroende på hur institutionen där du försöker ansluta till har eduroam-nätverket inställt kan detta kanske inte fungera (det enda stället jag arbetade tillät bara vissa VPN-enheter medan de var på eduroam, inte alla).

Vad du hänvisar till kallas en fångportal.

För att en sådan portal ska kunna visas i din webbläsare måste följande saker hända:

1. WiFi-routern väntar tills din dator gör en icke-krypterad (http: //) begäran till en offentlig webbplats.
2. Den avlyssnar den begäran
3. Det svarar genom att utge sig för den webbplats som du ville nå och skicka en omdirigering till portalen

Detta är något som ser extremt ont ut för alla säkerhetsprogram på din dator. Du gör en okrypterad http-begäran till en offentlig webbplats via ett opålitligt nätverk och blir offer för en man-i-mitten-attack. Ja, du är medveten om detta och du gör bara detta så att du kan se portfången. Men fångna portaler är inte standardiserade, så din dator kan inte se skillnaden.

Om IT-avdelningen skulle tillåta denna process, skulle de också låta dig surfa på internet över en helt osäker anslutning.

Generellt verifieras dessa Wi-Fi-hotspots via en MAC-adress . Det vill säga, när du loggar in via deras fångna portal kommer de ihåg ditt systems Wi-Fi MAC-adress. Trafik från den MAC-adressen tillåts på deras Wi-Fi-hotspot i X minuter / timmar, beroende på deras policy.

De lagrar den också tillräckligt länge så att du kan gå bort, komma tillbaka, få en ny IP-adress och kännas igen enbart på MAC-adressen. Vissa är stora. När du väl har tryckt på "TOS Accept" på Target's gäst-Wi-Fi, kommer den ihåg din MAC-adress i år och rikstäckande att starta.

Så, frågan är: Hur vi kan komma på Wi-Fi med en maskin med den MAC-adressen , bläddra i http://neverssl.com (eller någon annan webbplats än HTTPS) , omdirigeras till captive-portalen, uppfylla captive portalens krav och få vår MAC-adress "ihågkommen" som en bra sak.

Min tanke är att använda en annan enhet som tillåter att ändra sin MAC-adress godtyckligt. Inaktivera din företags bärbara dator Wi-Fi och ställ in MAC-adressen på din andra enhet. Använd den för att gå igenom den fångna portalens skärmar. Inaktivera Wi-Fi och aktivera din företags bärbara Wi-Fi.

Ett annat alternativ skulle vara att starta om din bärbara dator från en tummenhet, till ett icke-låst OS, förutsatt att ditt företag är OK med det .

Okej, så låt oss ta upp några punkter i din fråga.

Organisationer använder ofta LDAP och andra metoder för autentisering utan lösenord och är ännu säkrare.

En infrastruktur VPN tillåter bara ett visst IP-intervall, vilket är tillåtet av brandväggsinställningar och iptables för att kommunicera med ditt intranät / interna nätverk. Nu får du faktiskt referenser eller får bara komma åt detta intranät med ett visst IP-undernät / -intervall ofta genom att bara använda företagets nätverk via infrastrukturen VPN som Cisco SSL VPN eller Sophos infrastruktur VPN.

Hoppas att detta rensar några tvivel du hade!

PS - Användning av säkert VPN som använder IPSec-protokoll som säkert implementeras som Cisco SSL VPN för infrastrukturer är mycket säkrare än traditionella och erbjuder ett djupt lager av säkerhet från en extern angripares bakgrund som praktiskt taget inte kan komma åt nätverket utan att ha tillgång till infrastruktur-VPN.

Jag kan inte säga om din organisations sysadmins kommer att gå för det, men du kan föreslå för dem att de gör ett specifikt undantag i sin VPN-konfiguration för att tillåta direkta, okrypterade anslutningar till webbplatsen http: // neverssl .com /. Hela syftet med denna webbplats är att kapas av fångna portaler. Ingen kommer någonsin att behöva besöka via företagets VPN, för det är värdelöst förutom när du behöver tillåta en intern portal att kapa en okrypterad HTTP-anslutning och presentera sin inloggningssida, och den accepterar ingen information, så ingen kunde exfiltrera företagsdata på det sättet. Den återstående risken är att den inbyggda portalen i sig kan vara skadlig, och det är en verklig risk, så de kanske inte går för det. Men det är värt ett försök.

Hur är inget lösenord säkrare än användarnamn + lösenord?

Det är om du använder en delad nyckel . Så här fungerar det, förklaras enkelt.

Du har en säker nyckel på din dator. Den som du försöker logga in på har en nyckel som matchar den. Detta möjliggör en enkel, snabb och säker lösenordsfri inloggning.

Den här länken handlar mest om fjärranslutning till en fjärrserver via ssh, utan att ange ett användarnamn och lösenord. Jag gör det hela tiden när jag behöver ssh in på min hyrda bare-metal-server i ett annat tillstånd. Visst är det möjligt att göra det i ditt fall .