So verhindern Sie, dass sich Ihr Laptop automatisch mit einem alten Hotspot verbindet

Das Gerät verbindet sich mit einem alten Hotspot, bevor das VPN startet, und danach kommt der Tunnel über ein Netzwerk zustande, das niemand ausgewählt hat. Genau diese Reihenfolge ist das ganze Problem. Welches Netzwerk das Gerät wählt, ist eine Entscheidung des Betriebssystems, und ob der Tunnel zuerst steht, ist eine Entscheidung der Client-Richtlinie. Sie liegen an verschiedenen Stellen, und das eine zu reparieren repariert das andere nicht.

Entscheiden Sie, welche der beiden Sie tatsächlich ändern müssen, bevor Sie zu klicken beginnen.

Welche Schicht die Verbindungsentscheidung besitzt

Gespeicherte Netzwerke und automatisches Verbinden gehören zum Betriebssystem: die Wi-Fi-Einstellungen unter macOS, die Liste gespeicherter Netzwerke unter Android, die Liste bekannter Netzwerke unter Windows. Ein VPN-Client kann darauf nur dort Einfluss nehmen, wo der Anbieter eine ausdrückliche Integration liefert, und das tun die meisten nicht. Die Annahme, der Tunnel steuere die Verbindungsreihenfolge, führt dazu, VPN-Einstellungen zu ändern, die nie beteiligt waren.

Die Aufgabe des Tunnels beginnt, nachdem die Verbindung steht. Über die Frage, welche Verbindung das ist, hat er kein Mitspracherecht.

Das gespeicherte Netzwerk richtig löschen

Entfernen Sie den Eintrag, statt ihn niedriger einzustufen. Auf den meisten Plattformen verbindet sich ein vergessenes Netzwerk nicht automatisch wieder, während ein herabgestuftes es sehr wohl tut, wenn nichts Besseres verfügbar ist. Bestätigen Sie vor dem Abschluss, dass die beabsichtigte Heim- oder Arbeitsverbindung noch vorhanden ist, und entfernen Sie verwaltete Einträge nicht ohne den Prozess des Eigentümers. Auf einem verwalteten Gerät kann der Eintrag per Richtlinie eingespielt werden und nach dem Entfernen wieder erscheinen, was eine Support- und keine Einstellungsfrage ist.

Maßgeblich ist hier die Dokumentation der Plattform selbst, nicht ein Drittanbieter-Leitfaden für eine andere Version. Apples Hinweis zum Vergessen eines Wi-Fi-Netzwerks ist die Kurzfassung für macOS.

Eine gemerkte SSID ist nicht der Ort, dem Sie vertraut haben

Ein gespeicherter Name ist eine Zeichenkette. Ein Zugangspunkt kann denselben Namen von ganz woanders ausstrahlen, und so verbindet sich ein Gerät mit etwas, das nur vertraut aussieht. Prüfen Sie das Netzwerk, bevor Sie Portal-Zugangsdaten eingeben, und behandeln Sie eine unerwartete Captive-Seite bei einer bekannten SSID als Signal und nicht als Ärgernis. Dieses Risiko ist vom automatischen Verbinden getrennt, obwohl das Vergessen des Netzwerks beides verringert. Kettenstandorte verwenden dieselbe SSID in jeder Filiale, sodass der Name in zwei Städten echt und in einer dritten feindlich sein kann.

Namensübereinstimmung ist Bequemlichkeit, nicht Authentifizierung.

Den VPN-Start getrennt prüfen

Automatische Verbindung und Blockierung außerhalb des Tunnels sind zwei verschiedene Richtlinien, und ein Client kann die eine ohne die andere haben. Ein Gerät kann sich mit einem Netzwerk verbinden, eine Weile online bleiben und erst dann den Tunnel aufbauen. Testen Sie mit unkritischem Datenverkehr, um die Startreihenfolge und das Verhalten bei einem gewöhnlichen Netzwerkwechsel zu beobachten. Ein Profil, das sich später erneut verbindet, sagt nichts über das Intervall davor aus.

Wenn dieses Intervall zählt, ist die Blockierungsrichtlinie die Kontrolle, die Sie brauchen, nicht die Einstellung für automatisches Verbinden.

Was bei Captive-Portalen zu tun ist

Strenge Blockierung bricht Captive-Portale konstruktionsbedingt, weil das Portal Datenverkehr braucht, den der Tunnel sonst abfangen würde. Verwenden Sie ein genehmigtes Bootstrap-Verfahren, dokumentieren Sie es, und deaktivieren Sie nicht bei jedem fehlgeschlagenen Seitenaufruf unzusammenhängende Einstellungen.

Dieses Verfahren ist eine Entscheidung mit einem Eigentümer. Ohne einen erfinden Leute ihre eigene Version, und die erfundene Version deaktiviert den Schutz meist dauerhaft.