Como definir regras de Wi-Fi de confianza para a túa VPN de Android
O cifrado non é confianza, e unha aplicación aberta non é un túnel. Fixa a lista de redes de confianza e despois decide que pode saír do dispositivo mentres a VPN conecta.
Abre o cliente de VPN no teléfono, vai aos seus axustes de conexión automática e atoparás unha pantalla que che pide nomear as redes onde o túnel pode quedar apagado. Esa pantalla parece un interruptor de comodidade. É un documento de política con interface de caixas, e a maioría da xente enchénao marcando a rede na que casualmente está parada. No momento en que o fas, respondiches a unha pregunta de seguridade cunha icona de Wi-Fi. Este percorrido desmonta a mesma pantalla na orde en que o cliente a avalia.
Comeza polo que a marca afirma de verdade
Unha entrada de rede de confianza di que nesta rede o cliente pode saltar o túnel ou atrasalo. Nada no SSID nin no candado demostra que a rede o mereza. WPA2 ou WPA3 protexe a ligazón de radio entre o teléfono e o punto de acceso, e non di nada sobre quen opera o punto de acceso nin que rexistra. Un hotel, unha cafetería e un espazo de coworking poden publicar unha rede protexida con WPA e aínda así estar xestionados por alguén a quen non lle confiarías unha sesión de traballo.
Wi-Fi Enhanced Open, normalmente chamado OWE, afina a distinción: a ligazón está cifrada, pero non hai contrasinal compartido nin autenticación de rede convencional. O cifrado e a confianza responden preguntas distintas, e un cliente que trata o cifrado como coñecido-bó fusionounos en silencio.
Antes de engadir nada á lista, decide para que serve a VPN. Se transporta acceso a recursos de traballo privados, quizais ata a túa rede doméstica o necesite e a lista de confianza debería quedar case baleira. Se existe para manterte fóra da infraestrutura dos demais, a pregunta pasa a ser quen opera a rede, e esa resposta raramente se ve no teléfono.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Le o estado de rede que a aplicación si pode ver
A segunda parada é a condición de activación detrás da lista. Unha automatización sensata avalía a rede que o usuario ou a plataforma xa escolleu. Non debería buscar un punto de acceso aberto recordado e unirse a el para que a súa propia regra se dispare, nin debería tratar o Wi-Fi acendido como unha rede lista.
Android expón isto como feitos separados: Wi-Fi activado, asociado a un punto de acceso, acceso a internet validado e unha VPN que rematou o seu aperto de mans. Un portal cativo sitúase entre a asociación e a validación, e por iso o túnel ás veces falla nunha rede de hotel que o teléfono chama alegremente conectada. A guía de Android sobre o estado da rede cobre capacidades e callbacks de cambio se escribes ti mesmo a automatización.
Android tamén limita o que pode saber unha aplicación en segundo plano. Os detalles de rede dependen de permisos e da política da plataforma, e un valor que volve como non dispoñible non é un valor que poidas tratar como fiable. Cando a túa automatización non pode clasificar a rede actual, a rama segura é conectar en lugar de supoñer.
Mantén o disparador e a aplicación separados
Agora a parte que esconde a pantalla de axustes. Unha regra de rede de confianza é un disparador: decide cando debe comezar o cliente. Non é unha fronteira de aplicación, porque unha tarefa activada por un evento pode executarse despois de que outra aplicación xa enviou unha petición, e porque abrir a aplicación de VPN non é o mesmo que conectar un perfil. Tocar a icona pode deixarte nunha pantalla de inicio de sesión sen ningún túnel detrás.
Se o tráfico protexido non debe saír nunca fóra do túnel, incluída a clasificación e a configuración, esa garantía vén da plataforma: VPN sempre activa con bloqueo de conexións sen VPN, ou unha política equivalente de dispositivo xestionado. Engade a lista de confianza despois, como unha optimización sobre unha fronteira que xa aguanta.
Trata o inicio de sesión do portal e as peticións de credenciais polo fluxo aprobado. Non deixes un contrasinal nunha tarefa de automatización exportada e non desactives o lockdown para que o camiño feliz corra sen supervisión. Eses dous atallos son a forma en que unha función de comodidade se converte no elo máis débil da cadea.
Proba os casos que rompen a suposición
Percorre estes cinco antes de confiar na configuración: a túa rede de confianza aprobada, un local WPA descoñecido, unha rede aberta ou Enhanced Open, unha rede cuxo nome a aplicación non pode ler e un portal cativo. Para cada unha, anota se o túnel subiu, canto tardou e que saíu do dispositivo mentres aínda subía.
Despois proba a substitución. Cando o Wi-Fi cae e os datos móbiles toman o control, a túa regra segue describindo o que queres? Wi-Fi only pode deixar deliberadamente o tráfico móbil fóra da VPN, pero tamén pode ser unha rama na que ninguén pensou. Fai esa escolla explícita no perfil en lugar de descubrila nun tren.
Anota a lista de confianza, o comportamento con redes descoñecidas, que pode comunicarse antes de que o túnel estea levantado e quen é dono das excepcións para recursos de traballo. Unha icona de Wi-Fi que parece segura e unha aplicación de VPN aberta non responden ningunha desas preguntas; a lista e a regra de aplicación si.