Come impostare le regole Wi-Fi attendibili per il tuo VPN Android
La crittografia non è fiducia, e un'app aperta non è un tunnel. Imposta l'elenco delle reti attendibili, poi decidi cosa può uscire dal dispositivo mentre il VPN si connette.
Apri il client VPN sullo smartphone, vai alle sue impostazioni di connessione automatica e troverai una schermata che ti chiede di nominare le reti in cui il tunnel può restare spento. Quella schermata sembra un interruttore di comodità. È un documento di policy con un'interfaccia a caselle, e la maggior parte delle persone lo compila spuntando la rete su cui si trova per caso. Nel momento in cui lo fai, hai risposto a una domanda di sicurezza con un'icona Wi-Fi. Questa guida smonta la stessa schermata nell'ordine in cui il client la valuta.
Parti da ciò che la spunta afferma davvero
Una voce di rete attendibile dice che su questa rete il client può saltare il tunnel o ritardarlo. Nulla nell'SSID o nel lucchetto dimostra che la rete se lo meriti. WPA2 o WPA3 protegge il collegamento radio tra il telefono e il punto di accesso, e non dice nulla su chi gestisce il punto di accesso o cosa registra. Un hotel, un bar e uno spazio di coworking possono tutti pubblicare una rete protetta da WPA ed essere comunque gestiti da qualcuno a cui non affideresti una sessione di lavoro.
Wi-Fi Enhanced Open, di solito chiamato OWE, affina la distinzione: il collegamento è cifrato, ma non ci sono password condivisa né autenticazione di rete convenzionale. Crittografia e fiducia rispondono a domande diverse, e un client che tratta il cifrato come noto-buono le ha fuse in silenzio.
Prima di aggiungere qualcosa all'elenco, decidi a cosa serve il VPN. Se trasporta l'accesso a risorse di lavoro private, persino la tua rete domestica potrebbe averne bisogno e l'elenco attendibile dovrebbe restare quasi vuoto. Se esiste per tenerti fuori dall'infrastruttura altrui, la domanda diventa chi gestisce la rete, e quella risposta raramente è visibile sul telefono.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Leggi lo stato di rete che l'app può davvero vedere
La seconda tappa è la condizione di attivazione dietro l'elenco. Un'automazione assennata valuta la rete che l'utente o la piattaforma hanno già scelto. Non dovrebbe cercare un hotspot aperto memorizzato e unirsi a esso perché la propria regola scatti, né trattare il Wi-Fi acceso come una rete pronta.
Android espone questi come fatti separati: Wi-Fi attivo, associato a un punto di accesso, accesso a internet convalidato e un VPN che ha concluso la stretta di mano. Un portale captive si colloca tra associazione e convalida, ed è per questo che il tunnel a volte fallisce su una rete d'albergo che il telefono chiama allegramente connessa. La guida di Android sullo stato della rete copre capacità e callback di cambiamento se scrivi tu l'automazione.
Android limita anche ciò che un'app in background può sapere. I dettagli di rete dipendono dai permessi e dalla policy della piattaforma, e un valore che torna come non disponibile non è un valore che puoi trattare come attendibile. Quando la tua automazione non riesce a classificare la rete attuale, il ramo sicuro è connettersi invece di presumere.
Tieni separati il grilletto e l'applicazione
Ora la parte che la schermata delle impostazioni nasconde. Una regola di rete attendibile è un grilletto: decide quando il client deve partire. Non è un confine di applicazione, perché un'attività innescata da un evento può girare dopo che un'altra app ha già inviato una richiesta, e perché aprire l'app VPN non è lo stesso che collegare un profilo. Toccare l'icona può lasciarti su una schermata di accesso senza alcun tunnel dietro.
Se il traffico protetto non deve mai uscire dal tunnel, anche durante la classificazione e la configurazione, quella garanzia viene dalla piattaforma: VPN sempre attivo con blocco delle connessioni senza VPN, o una policy equivalente per dispositivi gestiti. Aggiungi l'elenco attendibile dopo, come ottimizzazione sopra un confine che già tiene.
Gestisci l'accesso al portale e le richieste di credenziali tramite il flusso approvato. Non lasciare una password in un'attività di automazione esportata e non disattivare il lockdown perché il percorso felice giri senza sorveglianza. Quelle due scorciatoie sono il modo in cui una funzione di comodità diventa l'anello più debole della catena.
Metti alla prova i casi che rompono l'assunzione
Percorri questi cinque prima di fidarti della configurazione: la tua rete attendibile approvata, un luogo WPA sconosciuto, una rete aperta o Enhanced Open, una rete il cui nome l'app non riesce a leggere e un portale captive. Per ciascuna annota se il tunnel è salito, quanto ci ha messo e cosa ha lasciato il dispositivo mentre stava ancora salendo.
Poi prova il passaggio. Quando il Wi-Fi cade e i dati mobili prendono il controllo, la regola che hai scritto descrive ancora ciò che vuoi? Wi-Fi only può lasciare deliberatamente il traffico cellulare fuori dal VPN, ma può anche essere un ramo a cui nessuno ha pensato. Rendi esplicita quella scelta nel profilo invece di scoprirla in treno.
Annota l'elenco attendibile, il comportamento con reti sconosciute, cosa può comunicare prima che il tunnel sia su e chi possiede le eccezioni per le risorse di lavoro. Un'icona Wi-Fi dall'aria sicura e un'app VPN aperta non rispondono a nessuna di queste domande; l'elenco e la regola di applicazione sì.