Як наладзіць правілы давераных сетак Wi-Fi для VPN на Android
Шыфраванне — гэта не давер, а запушчаная праграма — не тунель. Складзіце спіс давераных сетак і вырашыце, што можа пакідаць прыладу, пакуль VPN падключаецца.
Адкрыйце VPN-кліент на тэлефоне, перайдзіце ў налады аўтападключэння, і вы знойдзеце экран, які прапануе назваць сеткі, дзе тунель можа заставацца выключаным. Гэты экран выглядае як перамыкач зручнасці. Насамрэч гэта дакумент палітыкі з інтэрфейсам сцяжкоў, і большасць людзей запаўняе яго, адзначаючы тую сетку, на якой яны выпадкова стаяць. У той момант, калі вы гэта робіце, вы адказваеце на пытанне бяспекі значком Wi-Fi. Гэты разбор разбірае той жа экран у тым парадку, у якім кліент яго ацэньвае.
Пачніце з таго, што сцяжок сапраўды сцвярджае
Запіс даверанай сеткі кажа, што ў гэтай сетцы кліент можа прапусціць тунель або адкласці яго. Нічога ў SSID або замку не даказвае, што сетка гэтага вартая. WPA2 або WPA3 абараняе радыёсувязь паміж вашым тэлефонам і кропкай доступу і нічога не кажа пра тое, хто кіруе кропкай доступу і што яна запісвае. Гатэль, кафэ і сумесная прастора могуць публікаваць сетку з абаронай WPA, і ўсё ж ёй можа кіраваць чалавек, якому вы не давярылі б працоўную сесію.
Wi-Fi Enhanced Open, звычайна OWE, абвастрае гэтае размежаванне: сувязь шыфруецца, але агульнага пароля і звычайнай аўтэнтыфікацыі сеткі няма. Шыфраванне і давер адказваюць на розныя пытанні, і кліент, які лічыць зашыфраванае загадзя добрым, ціха злівае іх.
Перш чым нешта дадаць у спіс, вырашыце, для чаго патрэбны VPN. Калі ён нясе доступ да прыватных працоўных рэсурсаў, нават ваша хатняя сетка можа спатрэбіцца, і спіс давераных павінен заставацца амаль пустым. Калі ён існуе, каб трымаць вас па-за інфраструктурай іншых, пытанне становіцца хто кіруе сеткай, і гэты адказ рэдка бачны на тэлефоне.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Чытайце стан сеткі, які праграма сапраўды бачыць
Другі пункт — умова запуску за спісам. Разумная аўтаматызацыя ацэньвае сетку, якую карыстальнік або платформа ўжо выбралі. Яна не павінна шукаць запомненую адкрытую кропку і далучацца да яе, каб спрацавала яе ўласнае правіла, і не павінна лічыць уключаны Wi-Fi гатовай сеткай.
Android падае гэта як асобныя факты: Wi-Fi уключаны, ёсць далучэнне да кропкі доступу, доступ у інтэрнэт правераны і VPN завяршыў рукапацісканне. Партал уваходу стаіць паміж далучэннем і праверкай, таму тунель часам не ўзнікае ў гатэльнай сетцы, якую тэлефон бадзёра называе падключанай. Даведка Android пра стан сеткі апісвае магчымасці і зваротныя выклікі змен, калі вы пішаце аўтаматызацыю самі.
Android таксама абмяжоўвае тое, што можа даведацца фонавая праграма. Дэталі сеткі залежаць ад дазволаў і палітыкі платформы, і значэнне, якое вяртаецца як недаступнае, нельга лічыць давераным. Калі ваша аўтаматызацыя не можа класіфікаваць бягучую сетку, бяспечная галіна — падключыцца, а не меркаваць.
Трымайце трыгер і прымус асобна
Цяпер тое, што хавае экран налад. Правіла даверанай сеткі — гэта трыгер: яно вырашае, калі кліент павінен пачаць. Яно не мяжа прымусу, бо задача, запушчаная падзеяй, можа выканацца пасля таго, як іншая праграма ўжо адправіла запыт, і бо адкрыццё праграмы VPN не тое ж самае, што падключэнне профілю. Націснуўшы на значок, можна апынуцца на экране ўваходу без тунеля за ім.
Калі абаронены трафік ніколі не павінен пакідаць тунель, у тым ліку падчас класіфікацыі і наладжвання, гэтая гарантыя ідзе ад платформы: always-on VPN з блакіроўкай злучэнняў без VPN або эквівалентная палітыка кіраванай прылады. Дадайце спіс давераных пасля, як аптымізацыю паверх мяжы, якая ўжо трымаецца.
Уваход на партале і запыты ўліковых даных праводзьце праз зацверджаны працэс. Не пакідайце пароль у экспартаванай задачы аўтаматызацыі і не адключайце lockdown, каб шчаслівы шлях ішоў без нагляду. Гэтыя два скароты — тое, як функцыя зручнасці становіцца найслабейшым звяном у ланцугу.
Праверце выпадкі, якія ламаюць здагадку
Прайдзіце гэтыя пяць, перш чым давяраць наладзе: ваша зацверджаная давераная сетка, незнаёмае месца з WPA, адкрытая сетка або Enhanced Open, сетка, назву якой праграма не можа прачытаць, і партал уваходу. Для кожнай адзначце, ці ўзняўся тунель, колькі гэта заняло і што пакінула прыладу, пакуль ён яшчэ ўзнімаўся.
Затым праверце перадачу. Калі Wi-Fi знікае і мабільныя даныя бяруць верх, ці ўсё яшчэ ваша правіла апісвае жаданае? Wi-Fi only можа наўмысна пакідаць сотавы трафік па-за VPN, але гэта таксама можа быць галіна, пра якую ніхто не падумаў. Зрабіце гэты выбар яўным у профілі, а не выяўляйце яго ў цягніку.
Запішыце спіс давераных, паводзіны для невядомай сеткі, што можа сувязвацца да ўзняцця тунеля і хто валодае выключэннямі для працоўных рэсурсаў. Значок Wi-Fi, які выглядае бяспечна, і запушчаная праграма VPN не адказваюць ні на адно з гэтых пытанняў; гэта робяць спіс і правіла прымусу.