SSID-firewallregel hold op mei filterjen nei in Wi-Fi-wiksel
In firewall dy’t op SSID basearre is, falt iepen as Android in ûnbekende netwurknamme weromjout. Skied identiteit fan hanthavening en jou it ûnbekende syn eigen belied.
De regel wie ienfâldich: filterje ferkear allinnich wylst de telefoan oan it Wi-Fi fan it kantoar ferbûn is. It hold moannen, en doe siet de telefoan op in moarn op deselde SSID mei itselde kaai-ikoan en it filterjen wie ophâlden. Oan it netwurk wie neat feroare; wat feroare wie, wie oft de app de namme fan it netwurk sjen koe. Op Android binne «op hokker Wi-Fi bin ik» en «blokkearje dit ferkear» twa aparte taken, en in firewall dy’t se trochinoar hellet, falt iepen krekt as de namme net beskikber is.
It symptoom: identiteit ferdwynt, it belied folget
In SSID-regel lêst in wearde en kiest dan in tûke. As it lêzen neat nuttichs weromjout, moat de koade wat dwaan, en it gewoane ferstek is «net it ferwachte netwurk, dus net filterje». Dat ferstek makket fan in tastimmingsprobleem in ferkearslek. It kaai-ikoan bliuwt sichtber om’t de VPN-tsjinst noch rint; it hanthavet gewoan in oare tûke.
Sjoch nei de folchoarder fan de barren, net nei it netwurk. In ôfwiisd tastimmingsfinster, in systeemfernijing dy’t tagong ta SSID efter in oare tastimming pleatste, útskeakele lokaasjetsjinsten of in feroaring yn it belied fan it wurkprofyl kinne allegear itselde resultaat jaan wylst de telefoan op itselde tagongspunt bliuwt.
Wêrom’t de namme ûnbekend weromkomme kin
WifiInfo.getSSID() jout de tsjinsteset-identifikaasje fan it aktuele netwurk werom, en Android dokumintearret dat tagong ta lokaasjegefoelige fjilden fan tastimming ôfhinklik is. As tagong net beskikber is, jout de oprop UNKNOWN_SSID werom ynstee fan lûd te mislearjen. In lege of ûnbekende wearde is dus gjin bewiis dat de telefoan it Wi-Fi ferlitten hat; it is bewiis dat de app it netwurk net klassifisearje kin.
Twa kontrôles skiede de gefallen. Befêstigje dat de telefoan ferbûn is en sjoch wat it systeem rapportearret, befêstigje dan dat de app echt de tastimming hat dy’t it op dizze Android-ferzje nedich hat:
adb shell cmd wifi status
adb shell dumpsys package <your.app> | grep -i -E "ACCESS_FINE_LOCATION|NEARBY_WIFI_DEVICES"As de statusrige in ferbûn netwurk lit sjen wylst de app in ûnbekende namme sjocht, hast in tastimmings- of API-nivo-probleem, gjin Wi-Fi-probleem. Reparearje dat foardatst de firewallregels oanrekest, want elke regel dêrûnder wurdt beoardiele tsjin in wearde dy’t de app net lêze kin.
Wêr’t it filterjen echt rint
In lokale Android-firewall brûkt normaal it VpnService-model sûnder ferkear nei in ôfstienne server te stjoeren: it nimt de firtuele ynterface, past syn eigen regels ta en jout troch wat it tastean. It platfoarm tasteat ien aktive VPN-tsjinst per brûkersprofyl, en in twadde ferfangt de earste ynstee fan derop te steapeljen. In aparte firewall-app en in aparte wurk-VPN foarmje dus gjin keatling fan twa stappen; ien fan beide wint.
Dat is wichtich foar in SSID-regel om’t it hanthaveningspunt en it observaasjepunt ferskate komponinten binne. De VpnService beslút wat it apparaat ferlit; de Wi-Fi-API leveret allinnich in label. In app kin korrekt hanthavenje en ferkeard klassifisearje, en dat is krekt de flater yn dit artikel.
Jou it ûnbekende syn eigen belied
Behannelje de netwurkidentiteit as trije tastannen, en skriuw it belied foar elk op foardatst de regel útbringst. De tredde tastân is dy’t fergetten wurdt, en dêr sil in oanfaller of in ferkearde konfiguraasje dy yn sette.
| Observation | Policy to specify |
|---|---|
| Expected SSID is readable | The explicit filtering policy you designed |
| A different SSID is readable | The default policy for untrusted networks |
| Unknown, changing or unreadable | Fail closed until classification is reliable |
Ticht mislearje betsjut dat de ûnbekende tastân it strangste ridlike belied erft ynstee fan it handichste. As de telefoan dêrrtroch op in nij netwurk ûnbrûkber wurdt, is de goede oplossing in bewuste, sichtbere útsûndering, net in stil fertrouwensbeslút ferskûle yn in kontrôle op in lege wearde.
In fertroude SSID is in label, gjin bewiis fan de netwurkoperator. Elkenien kin in tagongspunt mei de namme fan it kantoar draaie, dus in nammematch moat nea it iennige wêze tusken in gefoelige sesje en in net-fertroulik segmint.
Test de oergongen, net de stive tastân
Testen yn stive tastân slagje op it netwurk dêr’tst de regel boud hast. De flaters libje yn oergongen: wegere tastimming, Wi-Fi nei mobyl, ien SSID nei in oare, de VPN-tsjinst opnij starten en in oare VPN-app dy’t de ynterface oernimt. Beslis foar elk oft besteande ferbiningen opnij besjoen wurde en oft beskerme ferkear blokkearre bliuwt wylst de tastân ûnbekend is.
Skriuw it resultaat as trije sinnen: de waarnommen betingst, it komponint dat it beslút hanthavet en de bewuste weromfal. As ien fan de trije ûntbrekt, is de regel noch gjin belied; it is in gissing dy’t tafallich op it kantoarnetwurk wurket.