So legen Sie Regeln für vertrauenswürdige WLAN-Netze für Ihr Android-VPN fest

Öffnen Sie den VPN-Client auf dem Telefon, gehen Sie zu den Einstellungen für die automatische Verbindung, und Sie finden einen Bildschirm, der Sie auffordert, die Netze zu benennen, in denen der Tunnel ausbleiben darf. Dieser Bildschirm sieht wie ein Komfortschalter aus. Er ist ein Richtliniendokument mit Kontrollkästchen-Oberfläche, und die meisten Menschen füllen ihn aus, indem sie das Netz anhaken, auf dem sie zufällig gerade stehen. In dem Moment, in dem Sie das tun, haben Sie eine Sicherheitsfrage mit einem WLAN-Symbol beantwortet. Dieser Durchgang zerlegt denselben Bildschirm in der Reihenfolge, in der der Client ihn auswertet.

Beginnen Sie damit, was das Häkchen tatsächlich behauptet

Ein Eintrag für ein vertrauenswürdiges Netz sagt, dass der Client in diesem Netz den Tunnel überspringen oder verzögern darf. Nichts in der SSID oder im Schloss beweist, dass das Netz das verdient. WPA2 oder WPA3 schützt die Funkstrecke zwischen Ihrem Telefon und dem Zugangspunkt und sagt nichts darüber, wer den Zugangspunkt betreibt oder was er protokolliert. Ein Hotel, ein Café und ein Coworking-Space können alle ein WPA-geschütztes Netz veröffentlichen und trotzdem von jemandem betrieben werden, dem Sie keine Arbeitssitzung anvertrauen würden.

Wi-Fi Enhanced Open, meist OWE genannt, schärft die Unterscheidung: Die Strecke ist verschlüsselt, aber es gibt kein gemeinsames Passwort und keine herkömmliche Netzauthentifizierung. Verschlüsselung und Vertrauen beantworten verschiedene Fragen, und ein Client, der Verschlüsseltes als bekannt-gut behandelt, hat beides stillschweigend zusammengelegt.

Bevor Sie etwas zur Liste hinzufügen, entscheiden Sie, wofür das VPN da ist. Trägt es den Zugang zu privaten Arbeitsressourcen, braucht vielleicht sogar Ihr Heimnetz es, und die Liste sollte nahezu leer bleiben. Existiert es, um Sie von der Infrastruktur anderer fernzuhalten, wird die Frage, wer das Netz betreibt, und diese Antwort ist auf dem Telefon selten sichtbar.

Lesen Sie den Netzzustand, den die App tatsächlich sehen kann

Die zweite Station ist die Auslösebedingung hinter der Liste. Eine vernünftige Automatisierung bewertet das Netz, das der Nutzer oder die Plattform bereits gewählt hat. Sie sollte nicht nach einem gespeicherten offenen Hotspot suchen und sich damit verbinden, damit ihre eigene Regel greift, und sie sollte eingeschaltetes WLAN nicht als fertiges Netz behandeln.

Android legt das als getrennte Fakten offen: WLAN aktiviert, mit einem Zugangspunkt verbunden, Internetzugang validiert und ein VPN, das seinen Handshake abgeschlossen hat. Ein Captive Portal liegt zwischen Verbindung und Validierung, weshalb der Tunnel in einem Hotelnetz manchmal scheitert, das das Telefon fröhlich verbunden nennt. Der Android-Leitfaden zum Netzzustand behandelt Fähigkeiten und Änderungs-Callbacks, falls Sie die Automatisierung selbst schreiben.

Android begrenzt außerdem, was eine Hintergrund-App erfahren kann. Netzdeteils hängen von Berechtigungen und Plattformrichtlinie ab, und ein Wert, der als nicht verfügbar zurückkommt, ist kein Wert, den Sie als vertrauenswürdig behandeln dürfen. Wenn Ihre Automatisierung das aktuelle Netz nicht klassifizieren kann, ist der sichere Zweig zu verbinden statt anzunehmen.

Halten Sie Auslöser und Durchsetzung getrennt

Nun der Teil, den der Einstellungsbildschirm verbirgt. Eine Regel für vertrauenswürdige Netze ist ein Auslöser: Sie entscheidet, wann der Client starten soll. Sie ist keine Durchsetzungsgrenze, weil eine ereignisgesteuerte Aufgabe laufen kann, nachdem eine andere App bereits eine Anfrage gesendet hat, und weil das Starten der VPN-App nicht dasselbe ist wie das Verbinden eines Profils. Ein Tippen auf das Symbol kann Sie auf einem Anmeldebildschirm landen lassen, hinter dem kein Tunnel steht.

Wenn geschützter Verkehr den Tunnel nie verlassen darf, auch nicht während Klassifizierung und Einrichtung, kommt diese Garantie von der Plattform: Always-on-VPN mit Verbindungen ohne VPN blockieren oder eine gleichwertige Richtlinie für verwaltete Geräte. Fügen Sie die Liste danach hinzu, als Optimierung auf einer Grenze, die bereits hält.

Behandeln Sie Portal-Anmeldung und Anmeldedaten-Abfragen über den freigegebenen Ablauf. Parken Sie kein Passwort in einer exportierten Automatisierungsaufgabe, und schalten Sie Lockdown nicht ab, damit der glückliche Pfad unbeaufsichtigt läuft. Diese beiden Abkürzungen sind der Weg, auf dem eine Komfortfunktion zum schwächsten Glied der Kette wird.

Testen Sie die Fälle, die die Annahme brechen

Gehen Sie diese fünf durch, bevor Sie dem Setup trauen: Ihr freigegebenes vertrauenswürdiges Netz, ein unbekannter WPA-Ort, ein offenes oder Enhanced-Open-Netz, ein Netz, dessen Namen die App nicht lesen kann, und ein Captive Portal. Notieren Sie für jedes, ob der Tunnel hochkam, wie lange es dauerte und was das Gerät verließ, während er noch hochkam.

Testen Sie dann die Übergabe. Wenn WLAN wegfällt und mobile Daten übernehmen, beschreibt Ihre Regel noch das, was Sie wollen? Wi-Fi only kann Mobilfunkverkehr bewusst außerhalb des VPN lassen, aber es kann auch ein Zweig sein, an den niemand gedacht hat. Machen Sie diese Wahl im Profil ausdrücklich, statt sie im Zug zu entdecken.

Schreiben Sie die Liste, das Verhalten bei unbekanntem Netz, was kommunizieren darf, bevor der Tunnel steht, und wer die Ausnahmen für Arbeitsressourcen verantwortet, auf. Ein sicher aussehendes WLAN-Symbol und eine gestartete VPN-App beantworten keine dieser Fragen; die Liste und die Durchsetzungsregel tun es.