Come impedire al portatile di collegarsi automaticamente a un vecchio hotspot

Il dispositivo si collega a un vecchio hotspot prima che la VPN parta, e poi il tunnel sale su una rete che nessuno ha scelto. Questo ordine degli eventi è tutto il problema. A quale rete si collega il dispositivo è una decisione del sistema operativo, e se il tunnel è attivo per primo è una decisione della policy del client. Vivono in posti diversi, e sistemare l'uno non sistema l'altro.

Decidi quale dei due devi davvero cambiare prima di iniziare a fare clic.

Quale livello possiede la decisione di collegamento

Le reti salvate e il collegamento automatico appartengono al sistema operativo: le impostazioni Wi-Fi su macOS, l'elenco delle reti salvate su Android, l'elenco delle reti note su Windows. Un client VPN può influire su questo solo dove il fornitore offre un'integrazione esplicita, e la maggior parte non lo fa. Presumere che il tunnel controlli l'ordine di collegamento porta a modificare impostazioni VPN che non erano mai state coinvolte.

Il lavoro del tunnel inizia dopo che il collegamento è attivo. Non ha voce in capitolo su quale collegamento sia.

Cancella bene la rete salvata

Rimuovi la voce invece di abbassarne la priorità. Sulla maggior parte delle piattaforme una rete dimenticata non si ricollegherà automaticamente, mentre una con priorità ridotta lo farà quando non c'è nulla di meglio. Conferma che la connessione di casa o di lavoro prevista sia ancora presente prima di finire, e non rimuovere voci gestite senza il processo del proprietario. Su un dispositivo gestito la voce può essere spinta da policy e riapparire dopo la rimozione, il che è una questione di supporto e non di impostazioni.

Qui il riferimento è la documentazione della piattaforma stessa, non una guida di terzi scritta per un'altra versione. La nota di Apple su dimenticare una rete Wi-Fi è la versione breve per macOS.

Un SSID memorizzato non è il luogo di cui ti sei fidato

Un nome salvato è solo una stringa. Un punto di accesso può trasmettere lo stesso nome da un posto completamente diverso, ed è così che un dispositivo si collega a qualcosa che sembra solo familiare. Controlla la rete prima di inserire le credenziali del portale, e tratta una pagina captive inattesa su un SSID noto come un segnale e non come un fastidio. Quel rischio è separato dal collegamento automatico, anche se dimenticare la rete riduce entrambi. Le sedi in catena riutilizzano lo stesso SSID in ogni filiale, quindi il nome può essere autentico in due città e ostile in una terza.

La corrispondenza dei nomi è comodità, non autenticazione.

Controlla l'avvio della VPN separatamente

Connessione automatica e blocco fuori dal tunnel sono due policy diverse, e un client può avere l'una senza l'altra. Un dispositivo può collegarsi a una rete, restare online per un po' e solo allora stabilire il tunnel. Prova con traffico non sensibile per osservare l'ordine di avvio e cosa succede in un normale cambio di rete. Un profilo che si riconnette più tardi non ti dice nulla sull'intervallo precedente.

Se quell'intervallo conta, il controllo che ti serve è la policy di blocco, non l'impostazione di connessione automatica.

Cosa fare con i portali captive

Il blocco rigoroso rompe i portali captive per concezione, perché il portale ha bisogno del traffico che il tunnel altrimenti catturerebbe. Usa una procedura di bootstrap approvata, tienila documentata e non disattivare impostazioni non correlate ogni volta che una pagina non si carica.

Quella procedura è una decisione con un proprietario. Senza proprietario le persone inventano la propria versione, e la versione inventata di solito disattiva la protezione in modo permanente.