Android VPN을 위한 신뢰할 수 있는 Wi-Fi 규칙 설정 방법
암호화는 신뢰가 아니고, 실행된 앱은 터널이 아니다. 신뢰할 수 있는 네트워크 목록을 정하고, VPN이 연결되는 동안 기기에서 무엇이 나갈 수 있는지 결정하라.
휴대폰에서 VPN 클라이언트를 열고 자동 연결 설정으로 들어가면, 터널이 꺼져 있어도 되는 네트워크의 이름을 지정하라는 화면이 나온다. 그 화면은 편의 토글처럼 보인다. 실제로는 체크박스 인터페이스를 가진 정책 문서이며, 대부분은 마침 서 있는 네트워크에 표시를 하며 채운다. 그렇게 하는 순간, Wi-Fi 아이콘으로 보안 질문에 답한 셈이다. 이 글은 클라이언트가 평가하는 순서대로 같은 화면을 뜯어본다.
표시가 실제로 주장하는 것부터 시작하자
신뢰할 수 있는 네트워크 항목은 이 네트워크에서 클라이언트가 터널을 건너뛰거나 지연해도 된다고 말한다. SSID나 자물쇠 어디에도 그 네트워크가 그럴 자격이 있다는 증거는 없다. WPA2나 WPA3는 휴대폰과 액세스 포인트 사이의 무선 구간을 보호할 뿐, 누가 액세스 포인트를 운영하고 무엇을 기록하는지는 말해 주지 않는다. 호텔, 카페, 코워킹 공간 모두 WPA로 보호된 네트워크를 내놓으면서도 업무 세션을 맡기고 싶지 않은 사람이 운영할 수 있다.
보통 OWE라 불리는 Wi-Fi Enhanced Open은 이 구분을 날카롭게 만든다. 구간은 암호화되어 있지만 공유 비밀번호도, 전통적인 네트워크 인증도 없다. 암호화와 신뢰는 서로 다른 질문에 답하는데, 암호화된 것을 이미 안전한 것으로 취급하는 클라이언트는 둘을 조용히 합쳐 버린 것이다.
목록에 무엇이든 추가하기 전에 VPN이 무엇을 위한 것인지 정하자. 사적인 업무 자원 접근을 나른다면 집 네트워크에도 필요할 수 있고, 신뢰 목록은 거의 비어 있어야 한다. 다른 사람의 인프라에서 벗어나기 위한 것이라면 질문은 누가 그 네트워크를 운영하는가가 되고, 그 답은 휴대폰 화면에 좀처럼 나타나지 않는다.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
앱이 실제로 볼 수 있는 네트워크 상태를 읽자
두 번째 지점은 목록 뒤에 있는 발동 조건이다. 분별 있는 자동화는 사용자나 플랫폼이 이미 선택한 네트워크를 평가한다. 자기 규칙을 발동시키려고 기억된 개방형 핫스팟을 찾아 스스로 접속하지 않아야 하고, Wi-Fi가 켜진 것을 네트워크가 준비된 것으로 여겨서도 안 된다.
Android는 이것을 별개의 사실로 보여 준다. Wi-Fi 활성화, 액세스 포인트와 결합, 검증된 인터넷 접근, 그리고 핸드셰이크를 마친 VPN이다. 캡티브 포털은 결합과 검증 사이에 자리 잡기 때문에, 휴대폰이 명랑하게 연결됐다고 부르는 호텔 네트워크에서 터널이 실패하기도 한다. 자동화를 직접 작성한다면 Android 네트워크 상태 가이드가 기능과 변경 콜백을 다룬다.
Android는 백그라운드 앱이 알 수 있는 것도 제한한다. 네트워크 세부 정보는 권한과 플랫폼 정책에 달려 있고, 사용할 수 없음으로 돌아온 값은 신뢰할 수 있다고 다뤄서는 안 되는 값이다. 자동화가 현재 네트워크를 분류할 수 없을 때 안전한 갈래는 가정이 아니라 연결이다.
방아쇠와 강제를 분리하자
이제 설정 화면이 감추는 부분이다. 신뢰할 수 있는 네트워크 규칙은 방아쇠다. 클라이언트가 언제 시작할지 결정한다. 이것은 강제의 경계가 아니다. 이벤트로 시작된 작업은 다른 앱이 이미 요청을 보낸 뒤에 실행될 수 있고, VPN 앱을 여는 것은 프로필을 연결하는 것과 같지 않기 때문이다. 아이콘을 누른 결과가 뒤에 터널이 없는 로그인 화면일 수 있다.
보호된 트래픽이 터널 밖으로 절대 나가면 안 된다면, 분류와 설정 중에도 그렇다면, 그 보장은 플랫폼에서 온다. VPN 없이 연결을 차단하는 상시 VPN, 또는 이에 상응하는 관리 기기 정책이다. 신뢰 목록은 그다음에, 이미 유지되는 경계 위의 최적화로 붙인다.
포털 로그인과 자격 증명 요청은 승인된 절차로 처리한다. 내보낸 자동화 작업에 비밀번호를 두지 말고, 순조로운 경로가 무인으로 돌아가게 하려고 잠금을 꺼서도 안 된다. 이 두 지름길이 편의 기능을 사슬의 가장 약한 고리로 만든다.
가정을 깨는 사례를 시험하자
설정을 믿기 전에 이 다섯을 걸어 보자. 승인된 신뢰 네트워크, 낯선 WPA 장소, 개방형 또는 Enhanced Open 네트워크, 앱이 이름을 읽을 수 없는 네트워크, 그리고 캡티브 포털이다. 각각에 대해 터널이 올라왔는지, 얼마나 걸렸는지, 올라오는 동안 기기에서 무엇이 나갔는지 적어 두자.
다음으로 전환을 시험하자. Wi-Fi가 끊기고 모바일 데이터가 넘겨받을 때, 쓴 규칙이 여전히 원하는 상태를 설명하는가. Wi-Fi only는 모바일 트래픽을 의도적으로 VPN 밖에 둘 수 있지만, 아무도 생각하지 못한 갈래일 수도 있다. 기차에서 발견하는 대신 프로필에서 그 선택을 분명히 하자.
신뢰 목록, 알 수 없는 네트워크에서의 동작, 터널이 올라오기 전에 무엇이 통신할 수 있는지, 업무 자원의 예외를 누가 책임지는지 적어 두자. 안전해 보이는 Wi-Fi 아이콘과 실행된 VPN 앱은 이 질문에 하나도 답하지 않는다. 목록과 강제 규칙이 답한다.