Android VPN の信頼済み Wi-Fi ルールを設定する方法
暗号化は信頼ではなく、起動したアプリはトンネルではない。信頼済みネットワークの一覧を設定し、VPN 接続中に端末から何が出てよいかを決めよう。
スマートフォンで VPN クライアントを開き、自動接続の設定に進むと、トンネルを切ったままでよいネットワークを指定する画面がある。その画面は便利スイッチのように見える。実態はチェックボックス付きのポリシー文書であり、多くの人はたまたま立っているネットワークに印を付けて埋めてしまう。そうした瞬間、Wi-Fi のアイコンでセキュリティの問いに答えたことになる。この解説では、クライアントが評価する順番どおりに同じ画面を分解していく。
チェックが実際に何を主張するのかから始める
信頼済みネットワークの登録は、このネットワークではクライアントがトンネルを省いても、遅らせてもよい、という意味だ。SSID にも鍵アイコンにも、そのネットワークがそう扱われるに値する証拠はない。WPA2 や WPA3 が守るのは端末とアクセスポイントの間の無線区間であり、アクセスポイントを誰が運用し、何を記録しているかは何も語らない。ホテルもカフェもコワーキングスペースも、WPA で保護されたネットワークを公開しながら、仕事のセッションを任せたくない相手が運用していることがある。
一般に OWE と呼ばれる Wi-Fi Enhanced Open は、この区別を鋭くする。回線は暗号化されているが、共有パスワードも従来型のネットワーク認証もない。暗号化と信頼は別の問いに答えており、暗号化されていることを既知の安全と取り違えるクライアントは、両者を静かに混同している。
一覧に何かを加える前に、VPN が何のためのものかを決めよう。社内の仕事用リソースへのアクセスを運ぶなら、自宅のネットワークにも必要かもしれず、信頼済み一覧はほぼ空のままにすべきだ。他人のインフラから離れるためのものなら、問いは誰がそのネットワークを運用しているかになり、その答えは端末の画面にはまず現れない。
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
アプリが実際に見えるネットワーク状態を読む
二つ目の論点は、一覧の背後にある発動条件だ。まともな自動化は、利用者やプラットフォームがすでに選んだネットワークを評価する。自分のルールを発動させたいがために、記憶されたオープンなホットスポットを探して勝手に接続したり、Wi-Fi がオンであることをネットワークの準備完了とみなしたりしてはならない。
Android はこれらを別々の事実として示す。Wi-Fi が有効、アクセスポイントと関連付け済み、インターネット到達性が検証済み、VPN のハンドシェイクが完了、という四つだ。キャプティブポータルは関連付けと検証の間に立ちはだかるため、端末が陽気に接続済みと呼ぶホテルのネットワークでトンネルが失敗することがある。自動化を自分で書くなら、Android のネットワーク状態ガイドが機能と変化のコールバックを扱っている。
Android はバックグラウンドのアプリが知り得ることも制限する。ネットワークの詳細は権限とプラットフォームのポリシーに依存し、取得できないとして返ってきた値は、信頼済みとして扱ってよい値ではない。自動化が現在のネットワークを分類できないとき、安全な分岐は推測ではなく接続だ。
引き金と強制を分けて考える
ここからが設定画面の隠している部分だ。信頼済みネットワークのルールは引き金であり、クライアントがいつ始めるかを決める。強制の境界ではないのは、イベントで起動したタスクが別のアプリの要求送信後に走り得るからであり、VPN アプリを開くことがプロファイルの接続と同じではないからだ。アイコンを押した先が、トンネルのないログイン画面ということもある。
保護された通信をトンネルの外に出したくない場合、分類や設定の間も含めて、その保証はプラットフォーム側から得る。VPN なしの接続をブロックする常時接続 VPN か、同等の管理端末ポリシーだ。信頼済み一覧はその後で、すでに成り立っている境界の上に載せる最適化として加える。
ポータルのサインインと認証情報の要求は、承認済みの手順で扱う。エクスポートした自動化タスクにパスワードを置かず、うまくいく経路を無人で回すためにロックダウンを切らない。この二つの近道が、便利な機能を鎖の最も弱い環に変える。
前提を壊すケースを試す
設定を信じる前に、次の五つを歩いてみよう。承認済みの信頼済みネットワーク、なじみのない WPA の場所、オープンまたは Enhanced Open のネットワーク、アプリが名前を読めないネットワーク、そしてキャプティブポータルだ。それぞれについて、トンネルが上がったか、どれだけ時間がかかったか、上がっている最中に端末から何が出たかを記録する。
次に切り替えを試す。Wi-Fi が落ちてモバイルデータが引き継いだとき、書いたルールはまだ望む状態を表しているか。Wi-Fi only はモバイル通信を意図的に VPN の外に置けるが、誰も考えなかった分岐にもなり得る。列車の中で発見するのではなく、プロファイルでその選択を明示しよう。
信頼済み一覧、未知のネットワークでの挙動、トンネルが上がる前に通信してよいもの、仕事用リソースの例外を誰が持つかを書き留める。安全そうな Wi-Fi アイコンと起動した VPN アプリは、これらの問いに一つも答えない。一覧と強制のルールが答えるのだ。