Slik setter du regler for klarerte Wi-Fi-nettverk for Android-VPN-en
Kryptering er ikke tillit, og en åpnet app er ikke en tunnel. Sett opp listen over klarerte nettverk, og bestem deretter hva som kan forlate enheten mens VPN-en kobler til.
Åpne VPN-klienten på telefonen, gå til innstillingene for automatisk tilkobling, og du finner en skjerm som ber deg navngi nettverkene der tunnelen kan stå av. Den skjermen ser ut som en bekvemmelighetsbryter. Den er et policydokument med avkrysningsgrensesnitt, og folk flest fyller den ut ved å krysse av for nettverket de tilfeldigvis står på. I det øyeblikket du gjør det, har du svart på et sikkerhetsspørsmål med et Wi-Fi-ikon. Denne gjennomgangen plukker fra hverandre den samme skjermen i den rekkefølgen klienten vurderer den.
Start med hva avkrysningen faktisk hevder
En oppføring for klarert nettverk sier at klienten på dette nettverket kan hoppe over tunnelen eller utsette den. Ingenting i SSID-en eller hengelåsen beviser at nettverket fortjener det. WPA2 eller WPA3 beskytter radioleddet mellom telefonen og aksesspunktet, og sier ingenting om hvem som driver aksesspunktet eller hva det logger. Et hotell, en kafé og et kontorfellesskap kan alle publisere et WPA-beskyttet nettverk og likevel drives av noen du ikke ville overlatt en arbeidsøkt til.
Wi-Fi Enhanced Open, vanligvis kalt OWE, skjerper skillet: leddet er kryptert, men det finnes ikke noe felles passord og ingen vanlig nettverksautentisering. Kryptering og tillit svarer på ulike spørsmål, og en klient som behandler kryptert som kjent-godt, har stille slått dem sammen.
Før du legger noe til listen, må du bestemme hva VPN-en er for. Hvis den bærer tilgang til private arbeidsressurser, kan selv hjemmenettverket ditt trenge den, og listen bør forbli nesten tom. Hvis den finnes for å holde deg borte fra andres infrastruktur, blir spørsmålet hvem som driver nettverket, og det svaret er sjelden synlig på telefonen.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Les nettverkstilstanden appen faktisk kan se
Det andre stoppet er utløserbetingelsen bak listen. En fornuftig automatisering vurderer nettverket brukeren eller plattformen allerede har valgt. Den bør ikke skanne etter et lagret åpent hotspot og koble seg til det for at dens egen regel skal utløses, og den bør ikke behandle påslått Wi-Fi som et nettverk som er klart.
Android viser disse som atskilte fakta: Wi-Fi aktivert, tilknyttet et aksesspunkt, validert internettilgang og en VPN som har fullført håndtrykket. En captive portal ligger mellom tilknytning og validering, og derfor feiler tunnelen noen ganger på et hotellnettverk som telefonen muntert kaller tilkoblet. Androids veiledning om nettverkstilstand dekker egenskaper og endringstilbakekall hvis du skriver automatiseringen selv.
Android begrenser også hva en bakgrunnsapp kan vite. Nettverksdetaljer avhenger av tillatelser og plattformpolicy, og en verdi som kommer tilbake som utilgjengelig, er ikke en verdi du kan behandle som klarert. Når automatiseringen din ikke kan klassifisere det gjeldende nettverket, er den trygge grenen å koble til i stedet for å anta.
Hold utløseren og håndhevelsen atskilt
Nå delen innstillingsskjermen skjuler. En regel for klarert nettverk er en utløser: den avgjør når klienten skal starte. Den er ikke en håndhevelsesgrense, fordi en hendelsesutløst oppgave kan kjøre etter at en annen app allerede har sendt en forespørsel, og fordi det å starte VPN-appen ikke er det samme som å koble til en profil. Et trykk på ikonet kan etterlate deg på en innloggingsskjerm uten tunnel bak.
Hvis beskyttet trafikk aldri skal forlate tunnelen, også under klassifisering og oppsett, kommer garantien fra plattformen: always-on VPN med blokkering av tilkoblinger uten VPN, eller en tilsvarende policy for administrerte enheter. Legg til listen etterpå, som en optimalisering på toppen av en grense som allerede holder.
Håndter portalloggin og forespørsler om legitimasjon gjennom den godkjente arbeidsflyten. Ikke parker et passord i en eksportert automatiseringsjobb, og ikke slå av lockdown for at den glade veien skal gå uten tilsyn. De to snarveiene er hvordan en bekvemmelighetsfunksjon blir det svakeste leddet i kjeden.
Test tilfellene som bryter forutsetningen
Gå gjennom disse fem før du stoler på oppsettet: ditt godkjente klarerte nettverk, et ukjent WPA-sted, et åpent eller Enhanced Open-nettverk, et nettverk appen ikke kan lese navnet på, og en captive portal. Noter for hver om tunnelen kom opp, hvor lang tid det tok, og hva som forlot enheten mens den fortsatt kom opp.
Test deretter overleveringen. Når Wi-Fi faller bort og mobildata overtar, beskriver regelen du skrev fortsatt det du ønsker? Wi-Fi only kan bevisst la mobiltrafikk ligge utenfor VPN-en, men det kan også være en gren ingen har tenkt på. Gjør det valget eksplisitt i profilen i stedet for å oppdage det på et tog.
Skriv ned listen over klarerte nettverk, oppførselen på ukjente nettverk, hva som kan kommunisere før tunnelen er oppe, og hvem som eier unntakene for arbeidsressurser. Et sikkert utseende Wi-Fi-ikon og en startet VPN-app svarer ikke på noen av disse spørsmålene; listen og håndhevelsesregelen gjør det.