Com evitar que l'ordinador portàtil s'uneixi automàticament a un punt d'accés antic

El dispositiu s'uneix a un punt d'accés antic abans que la VPN arrenqui, i després el túnel s'aixeca sobre una xarxa que ningú no ha triat. Aquest ordre dels fets és tot el problema. A quina xarxa s'uneix el dispositiu és una decisió del sistema operatiu, i si el túnel s'aixeca abans és una decisió de política del client. Viuen en llocs diferents, i arreglar l'un no arregla l'altre.

Decideix quina de les dues coses has de canviar realment abans de començar a fer clics.

Quina capa posseeix la decisió d'unir-se

Les xarxes desades i la unió automàtica pertanyen al sistema operatiu: els paràmetres de Wi-Fi a macOS, la llista de xarxes desades a Android, la llista de xarxes conegudes a Windows. Un client de VPN només hi pot influir on el proveïdor ofereix una integració explícita, i la majoria no ho fa. Suposar que el túnel controla l'ordre d'unió porta a canviar paràmetres de VPN que mai no hi havien tingut res a veure.

La feina del túnel comença quan l'enllaç està aixecat. No té vot sobre quin enllaç és.

Esborra bé la xarxa desada

Elimina l'entrada en lloc de rebaixar-ne la prioritat. A la majoria de plataformes, una xarxa oblidada no es tornarà a unir automàticament, mentre que una de prioritat baixa sí que ho farà quan no n'hi hagi cap de millor. Confirma que la connexió de casa o de feina prevista encara hi és abans d'acabar, i no eliminis entrades gestionades sense el procés del propietari. En un dispositiu gestionat, l'entrada pot ser empesa per política i tornar a aparèixer després d'eliminar-la, cosa que és una qüestió de suport i no de configuració.

Aquí la referència és la documentació de la mateixa plataforma, no una guia de tercers escrita per a una altra versió. La nota d'Apple sobre oblidar una xarxa Wi-Fi és la versió curta per a macOS.

Un SSID recordat no és el lloc en qui vas confiar

Un nom desat és una cadena. Un punt d'accés pot emetre el mateix nom des d'un lloc completament diferent, i així és com un dispositiu s'uneix a una cosa que només sembla familiar. Comprova la xarxa abans d'introduir credencials del portal, i tracta una pàgina captiva inesperada en un SSID conegut com un senyal i no com una molèstia. Aquest risc és separat de la unió automàtica, tot i que oblidar la xarxa redueix tots dos. Els locals de cadena reutilitzen el mateix SSID a cada sucursal, així que el nom pot ser genuí en dues ciutats i hostil en una tercera.

La coincidència de noms és comoditat, no autenticació.

Comprova l'arrencada de la VPN per separat

La connexió automàtica i el bloqueig fora del túnel són dues polítiques diferents, i un client pot tenir-ne una sense l'altra. Un dispositiu es pot unir a una xarxa, estar en línia una estona i només després establir el túnel. Prova amb trànsit no sensible per observar l'ordre d'arrencada i què passa en un canvi de xarxa corrent. Un perfil que es reconnecta més tard no et diu res sobre l'interval anterior.

Si aquest interval importa, el control que necessites és la política de bloqueig, no el paràmetre de connexió automàtica.

Què fer amb els portals captius

El bloqueig estricte trenca els portals captius per disseny, perquè el portal necessita trànsit que el túnel capturaria d'altra manera. Fes servir un procediment d'arrencada aprovat, mantingues-lo documentat i no desactivis paràmetres no relacionats cada vegada que una pàgina no carrega.

Aquest procediment és una decisió amb un propietari. Sense propietari, la gent s'inventa la seva versió, i la versió inventada normalment desactiva la protecció de manera permanent.