Com definir les regles de Wi-Fi de confiança per a la teva VPN d'Android
El xifratge no és confiança, i una aplicació oberta no és un túnel. Defineix la llista de xarxes de confiança i després decideix què pot sortir del dispositiu mentre la VPN connecta.
Obre el client de VPN al telèfon, vés a la configuració de connexió automàtica i trobaràs una pantalla que et demana que anomenis les xarxes on el túnel pot quedar-se aturat. Aquesta pantalla sembla un commutador de comoditat. És un document de política amb interfície de caselles, i la majoria de la gent l'omple marcant la xarxa on casualment està aturada. En el moment en què ho fas, has contestat una pregunta de seguretat amb una icona de Wi-Fi. Aquest recorregut desmunta la mateixa pantalla en l'ordre en què el client l'avalua.
Comença pel que la marca afirma realment
Una entrada de xarxa de confiança diu que en aquesta xarxa el client pot saltar-se el túnel o ajornar-lo. Res a l'SSID ni al cadenat no demostra que la xarxa s'ho mereixi. WPA2 o WPA3 protegeix l'enllaç de ràdio entre el telèfon i el punt d'accés, i no diu res sobre qui opera el punt d'accés ni què registra. Un hotel, una cafeteria i un espai de coworking poden publicar una xarxa protegida amb WPA i tot i així ser operats per algú a qui no confiaries una sessió de feina.
Wi-Fi Enhanced Open, normalment anomenat OWE, afina la distinció: l'enllaç està xifrat, però no hi ha contrasenya compartida ni autenticació de xarxa convencional. El xifratge i la confiança responen preguntes diferents, i un client que tracta el xifrat com a bo-conegut els ha fusionat en silenci.
Abans d'afegir res a la llista, decideix per a què serveix la VPN. Si porta accés a recursos de feina privats, potser fins i tot la teva xarxa de casa el necessita i la llista de confiança hauria de quedar gairebé buida. Si existeix per mantenir-te fora de la infraestructura dels altres, la pregunta passa a ser qui opera la xarxa, i aquesta resposta poques vegades es veu al telèfon.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Llegeix l'estat de xarxa que l'aplicació pot veure de debò
La segona parada és la condició d'activació darrere de la llista. Una automatització assenyada avalua la xarxa que l'usuari o la plataforma ja han triat. No hauria de buscar un punt d'accés obert recordat i unir-s'hi perquè la seva pròpia regla es dispari, ni hauria de tractar el Wi-Fi encès com una xarxa a punt.
Android exposa aquests fets per separat: Wi-Fi activat, associat a un punt d'accés, accés a internet validat i una VPN que ha acabat l'apretada de mans. El portal captiu se situa entre l'associació i la validació, i per això el túnel de vegades falla en una xarxa d'hotel que el telèfon anomena alegrement connectada. La guia d'Android sobre l'estat de la xarxa cobreix capacitats i callbacks de canvi si escrius tu mateix l'automatització.
Android també limita què pot saber una aplicació en segon pla. Els detalls de xarxa depenen de permisos i de la política de la plataforma, i un valor que torna com a no disponible no és un valor que puguis tractar com a fiable. Quan la teva automatització no pot classificar la xarxa actual, la branca segura és connectar-se, no suposar.
Mantén el disparador i l'aplicació separats
Ara la part que amaga la pantalla de configuració. Una regla de xarxa de confiança és un disparador: decideix quan ha de començar el client. No és una frontera d'aplicació, perquè una tasca activada per un esdeveniment pot executar-se després que una altra aplicació ja hagi enviat una petició, i perquè obrir l'aplicació de VPN no és el mateix que connectar un perfil. Tocar la icona et pot deixar en una pantalla d'inici de sessió sense cap túnel al darrere.
Si el trànsit protegit no ha de sortir mai fora del túnel, incloent-hi la classificació i la configuració, aquesta garantia ve de la plataforma: VPN sempre activa amb bloqueig de connexions sense VPN, o una política equivalent de dispositiu gestionat. Afegeix la llista de confiança després, com una optimització sobre una frontera que ja aguanta.
Gestiona l'inici de sessió del portal i les peticions de credencials pel flux aprovat. No deixis una contrasenya en una tasca d'automatització exportada i no desactivis el lockdown perquè el camí feliç corri sense supervisió. Aquestes dues dreceres són com una funció de comoditat es converteix en l'enllaç més dèbil de la cadena.
Prova els casos que trenquen la suposició
Recorre aquests cinc abans de confiar en la configuració: la teva xarxa de confiança aprovada, un local WPA desconegut, una xarxa oberta o Enhanced Open, una xarxa amb un nom que l'aplicació no pot llegir i un portal captiu. Per a cadascuna, anota si el túnel va pujar, quant va trigar i què va sortir del dispositiu mentre encara pujava.
Després prova el relleu. Quan el Wi-Fi cau i les dades mòbils prenen el comandament, la regla que has escrit encara descriu el que vols? Wi-Fi only pot deixar deliberadament el trànsit mòbil fora de la VPN, però també pot ser una branca en què ningú no va pensar. Fes aquesta tria explícita al perfil en lloc de descobrir-la en un tren.
Anota la llista de confiança, el comportament amb xarxes desconegudes, què pot comunicar-se abans que el túnel estigui aixecat i qui és responsable de les excepcions per a recursos de feina. Una icona de Wi-Fi que sembla segura i una aplicació de VPN oberta no responen cap d'aquestes preguntes; la llista i la regla d'aplicació sí.