Sådan sætter du regler for betroede Wi-Fi-netværk til din Android-VPN
Kryptering er ikke tillid, og en åbnet app er ikke en tunnel. Sæt listen over betroede netværk op, og beslut derefter, hvad der må forlade enheden, mens VPN'en opretter forbindelse.
Åbn VPN-klienten på telefonen, gå til dens indstillinger for automatisk forbindelse, og du finder en skærm, der beder dig navngive de netværk, hvor tunnelen må blive slået fra. Skærmen ligner en bekvemmelighedskontakt. Den er et politikdokument med en afkrydsningsflade, og de fleste udfylder den ved at sætte hak ved det netværk, de tilfældigvis står på. I det øjeblik, du gør det, har du besvaret et sikkerhedsspørgsmål med et Wi-Fi-ikon. Denne gennemgang skiller den samme skærm ad i den rækkefølge, klienten vurderer den.
Begynd med, hvad hakket faktisk hævder
En post for et betroet netværk siger, at klienten på dette netværk må springe tunnelen over eller udskyde den. Intet i SSID'et eller hængelåsen beviser, at netværket fortjener det. WPA2 eller WPA3 beskytter radioleddet mellem telefonen og adgangspunktet og siger intet om, hvem der driver adgangspunktet, eller hvad det logger. Et hotel, en café og et kontorfællesskab kan alle udsende et WPA-beskyttet netværk og stadig drives af nogen, du ikke ville overlade en arbejdsseance til.
Wi-Fi Enhanced Open, som regel kaldet OWE, skærper forskellen: leddet er krypteret, men der er ingen fælles adgangskode og ingen konventionel netværksgodkendelse. Kryptering og tillid besvarer forskellige spørgsmål, og en klient, der behandler krypteret som kendt-godt, har stille slået dem sammen.
Før du føjer noget til listen, skal du beslutte, hvad VPN'en er til. Hvis den bærer adgang til private arbejdsressourcer, kan selv dit hjemmenetværk have brug for den, og listen bør forblive næsten tom. Hvis den findes for at holde dig væk fra andres infrastruktur, bliver spørgsmålet, hvem der driver netværket, og det svar er sjældent synligt på telefonen.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Læs den netværkstilstand, appen faktisk kan se
Det andet stop er udløserbetingelsen bag listen. En fornuftig automatisering vurderer det netværk, brugeren eller platformen allerede har valgt. Den bør ikke scanne efter et husket åbent hotspot og tilslutte sig det, så dens egen regel kan udløses, og den bør ikke behandle tændt Wi-Fi som et netværk, der er klar.
Android viser disse som adskilte fakta: Wi-Fi aktiveret, forbundet med et adgangspunkt, valideret internetadgang og en VPN, der har afsluttet sit håndtryk. En captive portal ligger mellem forbindelse og validering, og derfor fejler tunnelen nogle gange på et hotelnetværk, som telefonen muntert kalder forbundet. Androids guide til netværkstilstand dækker egenskaber og ændringscallbacks, hvis du selv skriver automatiseringen.
Android begrænser også, hvad en baggrundsapp kan vide. Netværksdetaljer afhænger af tilladelser og platformspolitik, og en værdi, der kommer tilbage som utilgængelig, er ikke en værdi, du må behandle som betroet. Når din automatisering ikke kan klassificere det aktuelle netværk, er den sikre gren at forbinde i stedet for at antage.
Hold udløser og håndhævelse adskilt
Nu den del, indstillingsskærmen skjuler. En regel om betroet netværk er en udløser: den afgør, hvornår klienten skal begynde. Den er ikke en håndhævelsesgrænse, fordi en hændelsesudløst opgave kan køre, efter en anden app allerede har sendt en anmodning, og fordi det at starte VPN-appen ikke er det samme som at forbinde en profil. Et tryk på ikonet kan efterlade dig på en loginskærm uden tunnel bag.
Hvis beskyttet trafik aldrig må forlade tunnelen, heller ikke under klassificering og opsætning, kommer garantien fra platformen: always-on VPN med blokering af forbindelser uden VPN eller en tilsvarende politik for administrerede enheder. Tilføj listen bagefter som en optimering oven på en grænse, der allerede holder.
Håndtér portallogin og anmodninger om legitimationsoplysninger gennem det godkendte flow. Parker ikke en adgangskode i en eksporteret automatiseringsopgave, og slå ikke lockdown fra, så den glade vej kører uden opsyn. De to genveje er, hvordan en bekvemmelighedsfunktion bliver det svageste led i kæden.
Test de tilfælde, der bryder antagelsen
Gå disse fem igennem, før du stoler på opsætningen: dit godkendte betroede netværk, et ukendt WPA-sted, et åbent eller Enhanced Open-netværk, et netværk, hvis navn appen ikke kan læse, og en captive portal. Notér for hver, om tunnelen kom op, hvor lang tid det tog, og hvad der forlod enheden, mens den stadig kom op.
Test derefter overdragelsen. Når Wi-Fi falder væk, og mobildata overtager, beskriver din regel stadig det, du ønsker? Wi-Fi only kan bevidst lade mobiltrafik ligge uden for VPN'en, men det kan også være en gren, ingen har tænkt på. Gør det valg eksplicit i profilen i stedet for at opdage det i et tog.
Skriv listen over betroede netværk ned, adfærden ved ukendte netværk, hvad der må kommunikere, før tunnelen er oppe, og hvem der ejer undtagelserne for arbejdsressourcer. Et sikkert udseende Wi-Fi-ikon og en startet VPN-app besvarer ingen af de spørgsmål; listen og håndhævelsesreglen gør.