Jak nastavit pravidla důvěryhodných sítí Wi-Fi pro VPN v Androidu
Šifrování není důvěra a spuštěná aplikace není tunel. Nastavte seznam důvěryhodných sítí a pak rozhodněte, co smí zařízení opustit, dokud se VPN připojuje.
Otevřete VPN klienta v telefonu, přejděte do nastavení automatického připojení a najdete obrazovku, která vás žádá, abyste pojmenovali sítě, kde může tunel zůstat vypnutý. Ta obrazovka vypadá jako přepínač pohodlí. Je to dokument zásad s rozhraním zaškrtávacích políček a většina lidí ho vyplní tak, že zaškrtne síť, na které zrovna stojí. Ve chvíli, kdy to uděláte, jste na bezpečnostní otázku odpověděli ikonou Wi-Fi. Tento průvodce rozebere stejnou obrazovku v pořadí, v jakém ji klient vyhodnocuje.
Začněte tím, co zaškrtnutí skutečně tvrdí
Záznam důvěryhodné sítě říká, že v této síti smí klient tunel přeskočit nebo odložit. Nic v SSID ani v zámku nedokazuje, že si to síť zaslouží. WPA2 nebo WPA3 chrání rádiové spojení mezi telefonem a přístupovým bodem a neříká nic o tom, kdo přístupový bod provozuje nebo co zaznamenává. Hotel, kavárna a coworkingové centrum mohou zveřejnit síť chráněnou WPA a přesto ji může provozovat někdo, komu byste pracovní sezení nesvěřili.
Wi-Fi Enhanced Open, obvykle OWE, zostřuje rozdíl: spojení je šifrované, ale neexistuje sdílené heslo ani běžné ověřování sítě. Šifrování a důvěra odpovídají na různé otázky a klient, který šifrované považuje za známé-dobré, je tiše sloučil.
Než cokoli přidáte do seznamu, rozhodněte, k čemu VPN je. Pokud nese přístup k soukromým pracovním zdrojům, může ho potřebovat i vaše domácí síť a seznam důvěryhodných by měl zůstat téměř prázdný. Pokud existuje, aby vás držel mimo infrastrukturu ostatních, otázka se stává kdo síť provozuje, a tato odpověď je v telefonu málokdy vidět.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Čtěte stav sítě, který aplikace skutečně vidí
Druhá zastávka je spouštěcí podmínka za seznamem. Rozumná automatizace vyhodnocuje síť, kterou uživatel nebo platforma už zvolili. Neměla by hledat zapamatovaný otevřený hotspot a připojovat se k němu, aby se její vlastní pravidlo spustilo, a neměla by zapnutou Wi-Fi považovat za připravenou síť.
Android to vystavuje jako oddělená fakta: Wi-Fi zapnuta, přidruženo k přístupovému bodu, ověřený přístup k internetu a VPN, která dokončila handshake. Captive portal stojí mezi přidružením a ověřením, a proto tunel někdy na hotelové síti selže, i když ji telefon vesele nazývá připojenou. Průvodce Androidu ke stavu sítě pokrývá schopnosti a callbacky změn, pokud si automatizaci píšete sami.
Android také omezuje, co se aplikace na pozadí může dozvědět. Podrobnosti o síti závisí na oprávněních a zásadách platformy a hodnota, která se vrátí jako nedostupná, není hodnota, kterou smíte považovat za důvěryhodnou. Když vaše automatizace nedokáže aktuální síť klasifikovat, bezpečná větev je připojit se, ne předpokládat.
Držte spouštěč a vynucení oddělené
Teď část, kterou obrazovka nastavení skrývá. Pravidlo důvěryhodné sítě je spouštěč: rozhoduje, kdy má klient začít. Není to hranice vynucení, protože úloha spuštěná událostí může běžet poté, co jiná aplikace už odeslala požadavek, a protože spuštění VPN aplikace není totéž jako připojení profilu. Klepnutí na ikonu vás může přivést na přihlašovací obrazovku, za kterou není žádný tunel.
Pokud chráněný provoz nikdy nesmí opustit tunel, včetně klasifikace a nastavování, přichází tato záruka z platformy: always-on VPN s blokováním připojení bez VPN nebo ekvivalentní zásada spravovaného zařízení. Seznam přidejte až potom, jako optimalizaci nad hranicí, která už drží.
Přihlášení na portálu a výzvy k zadání údajů řešte schváleným postupem. Neparkujte heslo v exportované automatizační úloze a nevypínejte lockdown, aby šťastná cesta běžela bez dozoru. Tyto dvě zkratky jsou způsob, jak se z funkce pohodlí stane nejslabší článek řetězu.
Otestujte případy, které předpoklad boří
Projděte těchto pět, než nastavení uvěříte: vaše schválená důvěryhodná síť, neznámé místo s WPA, otevřená síť nebo Enhanced Open, síť, jejíž název aplikace nepřečte, a captive portal. U každé si poznamenejte, zda tunel naskočil, jak dlouho to trvalo a co opustilo zařízení, zatímco ještě naskakoval.
Pak otestujte předání. Když Wi-Fi vypadne a převezmou mobilní data, popisuje vaše pravidlo stále to, co chcete? Wi-Fi only může záměrně nechat mobilní provoz mimo VPN, ale může to být i větev, na kterou nikdo nemyslel. Udělejte tu volbu v profilu výslovnou, místo abyste ji objevovali ve vlaku.
Zapište seznam důvěryhodných, chování u neznámé sítě, co smí komunikovat před naskočením tunelu a kdo vlastní výjimky pro pracovní zdroje. Bezpečně vypadající ikona Wi-Fi a spuštěná VPN aplikace neodpovídají na žádnou z těch otázek; seznam a pravidlo vynucení ano.