Comment définir des règles Wi-Fi de confiance pour votre VPN Android

Ouvrez le client VPN sur le téléphone, allez dans ses réglages de connexion automatique, et vous trouverez un écran qui vous demande de nommer les réseaux où le tunnel peut rester coupé. Cet écran ressemble à un interrupteur de confort. C'est un document de politique avec une interface à cases à cocher, et la plupart des gens le remplissent en cochant le réseau sur lequel ils se trouvent par hasard. À l'instant où vous le faites, vous avez répondu à une question de sécurité avec une icône Wi-Fi. Cette analyse démonte le même écran dans l'ordre où le client l'évalue.

Commencez par ce que la coche affirme vraiment

Une entrée de réseau de confiance dit que sur ce réseau, le client peut sauter le tunnel ou le retarder. Rien dans le SSID ni dans le cadenas ne prouve que le réseau le mérite. WPA2 ou WPA3 protège la liaison radio entre votre téléphone et le point d'accès, et ne dit rien sur qui exploite le point d'accès ni sur ce qu'il journalise. Un hôtel, un café et un espace de coworking peuvent tous publier un réseau protégé par WPA et être malgré tout exploités par quelqu'un à qui vous ne confieriez pas une session de travail.

Wi-Fi Enhanced Open, souvent appelé OWE, affine la distinction : la liaison est chiffrée, mais il n'y a ni mot de passe partagé ni authentification réseau classique. Chiffrement et confiance répondent à des questions différentes, et un client qui traite le chiffré comme connu-bon les a discrètement fusionnés.

Avant d'ajouter quoi que ce soit à la liste, décidez à quoi sert le VPN. S'il transporte l'accès à des ressources de travail privées, même votre réseau domestique peut en avoir besoin et la liste devrait rester presque vide. S'il existe pour vous tenir à l'écart de l'infrastructure des autres, la question devient qui exploite le réseau, et cette réponse est rarement visible sur le téléphone.

Lisez l'état du réseau que l'application peut réellement voir

Le deuxième arrêt est la condition de déclenchement derrière la liste. Une automatisation sensée évalue le réseau que l'utilisateur ou la plateforme a déjà choisi. Elle ne devrait pas chercher un point d'accès ouvert mémorisé et s'y joindre pour que sa propre règle se déclenche, ni traiter un Wi-Fi activé comme un réseau prêt.

Android expose ces faits séparément : Wi-Fi activé, associé à un point d'accès, accès Internet validé et un VPN qui a terminé sa poignée de main. Un portail captif se situe entre l'association et la validation, ce qui explique pourquoi le tunnel échoue parfois sur un réseau d'hôtel que le téléphone appelle joyeusement connecté. Le guide Android sur l'état du réseau couvre les capacités et les rappels de changement si vous écrivez vous-même l'automatisation.

Android limite aussi ce qu'une application en arrière-plan peut apprendre. Les détails du réseau dépendent des autorisations et de la politique de la plateforme, et une valeur qui revient indisponible n'est pas une valeur que vous pouvez traiter comme fiable. Quand votre automatisation ne peut pas classer le réseau actuel, la branche sûre est de se connecter plutôt que de supposer.

Gardez le déclencheur et l'application séparés

Voici maintenant la partie que l'écran de réglages cache. Une règle de réseau de confiance est un déclencheur : elle décide quand le client doit démarrer. Ce n'est pas une frontière d'application, car une tâche déclenchée par un événement peut s'exécuter après qu'une autre application a déjà envoyé une requête, et parce que lancer l'application VPN n'est pas la même chose que connecter un profil. Toucher l'icône peut vous laisser sur un écran de connexion sans tunnel derrière.

Si le trafic protégé ne doit jamais sortir du tunnel, y compris pendant la classification et la configuration, cette garantie vient de la plateforme : VPN toujours actif avec blocage des connexions sans VPN, ou une politique équivalente d'appareil géré. Ajoutez la liste ensuite, comme une optimisation par-dessus une frontière qui tient déjà.

Gérez la connexion au portail et les demandes d'identifiants via le flux approuvé. Ne laissez pas un mot de passe dans une tâche d'automatisation exportée et ne désactivez pas le lockdown pour que le chemin heureux tourne sans surveillance. Ces deux raccourcis sont la façon dont une fonction de confort devient le maillon faible de la chaîne.

Testez les cas qui brisent l'hypothèse

Parcourez ces cinq avant de faire confiance à la configuration : votre réseau de confiance approuvé, un lieu WPA inconnu, un réseau ouvert ou Enhanced Open, un réseau dont l'application ne peut pas lire le nom, et un portail captif. Pour chacun, notez si le tunnel est monté, combien de temps cela a pris et ce qui a quitté l'appareil pendant qu'il montait encore.

Testez ensuite le relais. Quand le Wi-Fi tombe et que les données mobiles prennent le relais, votre règle décrit-elle encore ce que vous voulez ? Wi-Fi only peut délibérément laisser le trafic cellulaire hors du VPN, mais cela peut aussi être une branche à laquelle personne n'a pensé. Rendez ce choix explicite dans le profil au lieu de le découvrir dans un train.

Notez la liste de confiance, le comportement face à un réseau inconnu, ce qui peut communiquer avant que le tunnel soit monté, et qui possède les exceptions pour les ressources de travail. Une icône Wi-Fi d'apparence sûre et une application VPN ouverte ne répondent à aucune de ces questions ; la liste et la règle d'application, si.