Näin asetat luotettujen Wi-Fi-verkkojen säännöt Android-VPN:lle
Salaus ei ole luottamusta eikä avattu sovellus ole tunneli. Aseta luotettujen verkkojen lista ja päätä sitten, mitä laitteesta saa lähteä VPN:n yhdistäessä.
Avaa VPN-asiakasohjelma puhelimessa, mene sen automaattisen yhdistämisen asetuksiin ja löydät näytön, joka pyytää nimeämään verkot, joissa tunneli saa jäädä pois päältä. Näyttö näyttää mukavuuskytkimeltä. Se on valintaruutukäyttöliittymällä varustettu käytäntöasiakirja, ja useimmat täyttävät sen rastittamalla verkon, jonka päällä sattuvat seisomaan. Sinä hetkenä kun teet sen, olet vastannut turvallisuuskysymykseen Wi-Fi-kuvakkeella. Tämä läpikäynti purkaa saman näytön siinä järjestyksessä, jossa asiakasohjelma sen arvioi.
Aloita siitä, mitä rasti todella väittää
Luotetun verkon merkintä sanoo, että tässä verkossa asiakasohjelma saa ohittaa tunnelin tai viivyttää sitä. Mikään SSID:ssä tai lukossa ei todista, että verkko ansaitsee sen. WPA2 tai WPA3 suojaa radioyhteyden puhelimesi ja tukiaseman välillä eikä kerro mitään siitä, kuka tukiasemaa ylläpitää tai mitä se lokittaa. Hotelli, kahvila ja yhteistyötila voivat kaikki julkaista WPA-suojatun verkon ja silti olla sellaisen henkilön ylläpitämiä, jolle et antaisi työistuntoa.
Wi-Fi Enhanced Open, jota yleensä kutsutaan nimellä OWE, terävöittää eron: yhteys on salattu, mutta jaettua salasanaa ja tavanomaista verkkotodennusta ei ole. Salaus ja luottamus vastaavat eri kysymyksiin, ja asiakasohjelma, joka kohtelee salattua tunnettuna-hyvänä, on hiljaa yhdistänyt ne.
Ennen kuin lisäät listalle mitään, päätä, mihin VPN on tarkoitettu. Jos se kuljettaa pääsyä yksityisiin työresursseihin, ehkä kotiverkkosikin tarvitsee sitä ja luotettujen lista kannattaa pitää lähes tyhjänä. Jos se on olemassa pitääkseen sinut poissa muiden infrastruktuurista, kysymykseksi tulee kuka verkkoa ylläpitää, ja se vastaus näkyy puhelimessa harvoin.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Lue verkon tila, jonka sovellus todella näkee
Toinen pysäkki on listan takana oleva käynnistymisehto. Järkevä automaatio arvioi verkon, jonka käyttäjä tai alusta on jo valinnut. Sen ei pidä etsiä muistettua avointa tukiasemaa ja liittyä siihen, jotta sen oma sääntö laukeaisi, eikä pitää päälle kytkettyä Wi-Fiä valmiina verkkona.
Android paljastaa nämä erillisinä tosiasioina: Wi-Fi käytössä, liittynyt tukiasemaan, vahvistettu internetyhteys ja VPN, joka on päättänyt kättelynsä. Captive-portaali on liittymisen ja vahvistuksen välissä, ja siksi tunneli joskus epäonnistuu hotelliverkossa, jota puhelin iloisesti kutsuu yhdistetyksi. Androidin verkontilaa koskeva opas kattaa ominaisuudet ja muutospalautukset, jos kirjoitat automaation itse.
Android rajoittaa myös sitä, mitä taustasovellus voi tietää. Verkon yksityiskohdat riippuvat käyttöoikeuksista ja alustan käytännöstä, eikä arvoa, joka palaa ei-saatavilla-tilana, saa pitää luotettuna. Kun automaatiosi ei pysty luokittelemaan nykyistä verkkoa, turvallinen haara on yhdistää eikä olettaa.
Pidä laukaisin ja valvonta erillään
Nyt se osa, jonka asetusnäyttö kätkee. Luotetun verkon sääntö on laukaisin: se päättää, milloin asiakasohjelman pitäisi aloittaa. Se ei ole valvonnan raja, koska tapahtuman laukaisema tehtävä voi ajaa sen jälkeen, kun toinen sovellus on jo lähettänyt pyynnön, ja koska VPN-sovelluksen avaaminen ei ole sama kuin profiilin yhdistäminen. Kuvakkeen napauttaminen voi jättää sinut kirjautumisnäytölle ilman tunnelia sen takana.
Jos suojatun liikenteen ei koskaan pidä poistua tunnelin ulkopuolelle, myös luokittelun ja käyttöönoton aikana, takuu tulee alustalta: aina päällä oleva VPN, joka estää yhteydet ilman VPN:ää, tai vastaava hallitun laitteen käytäntö. Lisää luotettujen lista vasta sen jälkeen, optimointina rajalle, joka jo pitää.
Hoida portaalin kirjautuminen ja tunnistetietopyynnöt hyväksytyn työnkulun kautta. Älä jätä salasanaa vietyyn automaatiotehtävään äläkä kytke lockdownia pois, jotta onnellinen polku toimii valvomatta. Nämä kaksi oikotietä ovat se tapa, jolla mukavuusominaisuudesta tulee ketjun heikoin lenkki.
Testaa tapaukset, jotka rikkovat oletuksen
Käy nämä viisi läpi ennen kuin luotat asetukseen: hyväksytty luotettu verkkosi, tuntematon WPA-paikka, avoin tai Enhanced Open -verkko, verkko, jonka nimeä sovellus ei pysty lukemaan, ja captive-portaali. Merkitse jokaisesta, nousiko tunneli, kuinka kauan se kesti ja mitä laitteesta lähti, kun se oli vielä nousemassa.
Testaa sitten siirtymä. Kun Wi-Fi putoaa ja mobiilidata ottaa vallan, kuvaileeko kirjoittamasi sääntö yhä sitä, mitä haluat? Wi-Fi only voi jättää mobiililiikenteen tarkoituksella VPN:n ulkopuolelle, mutta se voi myös olla haara, jota kukaan ei ajatellut. Tee siitä valinta profiilissa selväksi sen sijaan, että löytäisit sen junassa.
Kirjoita ylös luotettujen lista, käyttäytyminen tuntemattomassa verkossa, mitä saa kommunikoida ennen kuin tunneli nousee ja kuka omistaa työresurssien poikkeukset. Turvallisen näköinen Wi-Fi-kuvake ja avattu VPN-sovellus eivät vastaa yhteenkään näistä kysymyksistä; lista ja valvontasääntö vastaavat.