Regler for klarerte Wi-Fi-nettverk i Android-VPN: slik gjør du det
Kryptering er ikke det samme som tillit, og en åpnet app er ikke en tunnel. Du må sette opp listen over klarerte nettverk og så avgjøre hva som får forlate enheten mens VPN-en kobler til.
På telefonen åpner du VPN-klienten. Der går du til innstillingene for automatisk tilkobling. Du finner da en skjerm som ber deg navngi nettverkene der tunnelen kan være avslått. Skjermen virker som en komfortbryter. I virkeligheten er den et policydokument med avkryssingsbokser, og de fleste fyller den ut ved å hake av for nettverket de står på der og da. Når du gjør det, har du besvart et sikkerhetsspørsmål med et Wi-Fi-ikon. Her tar vi den samme skjermen fra hverandre i den rekkefølgen klienten vurderer den.
Det vinklingen egentlig påstår
En rad for klarert nettverk sier at klienten her kan la tunnelen være av eller vente med den. Verken SSID-navnet eller hengelåsen beviser at nettverket er til å stole på. WPA2 eller WPA3 verner bare radioleddet mellom telefonen og aksesspunktet. Det sier ingenting om hvem som driver aksesspunktet, eller hva som blir loggført. Et hotell, en kafé og et kontorfellesskap kan alle sende ut et WPA-vernet nettverk og likevel drives av noen du ikke vil gi en arbeidsøkt.
Wi-Fi Enhanced Open, ofte forkortet OWE, gjør skillet tydeligere. Leddet er kryptert, men det finnes verken felles passord eller vanlig nettverksautentisering. Kryptering og tillit besvarer to forskjellige spørsmål. En klient som behandler kryptert som trygt, har stille slått dem sammen.
Før noe føres opp på listen, må du vite hva VPN-en skal brukes til. Skal den bære tilgang til private arbeidsressurser, kan selv hjemmenettverket ditt trenge den, og listen bør nesten være tom. Er poenget å holde deg unna andres infrastruktur, blir spørsmålet hvem som driver nettverket. Det svaret er sjelden synlig på telefonen.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Nettverkstilstanden appen faktisk ser
Det andre punktet er utløserbetingelsen bak listen. Fornuftig automatisering ser på nettverket brukeren eller plattformen allerede har valgt. Den skal ikke lete etter et lagret åpent hotspot og koble seg til det for å få sin egen regel til å slå inn. Den skal heller ikke regne påslått Wi-Fi som et nettverk som er klart.
Android viser disse som adskilte fakta: Wi-Fi aktivert, tilknyttet et aksesspunkt, validert internettilgang og en VPN som har fullført håndtrykket. En captive portal ligger mellom tilknytning og validering. Derfor feiler tunnelen av og til på et hotellnettverk som telefonen gladelig kaller tilkoblet. Androids veiledning for nettverkstilstand dekker egenskaper og endringsvarsler hvis du skriver automatiseringen selv.
Android begrenser også hva en app i bakgrunnen kan vite. Nettverksdetaljer avhenger av tillatelser og plattformpolicy. En verdi som kommer tilbake som utilgjengelig, er ikke en verdi du kan behandle som klarert. Klarer ikke automatiseringen din å klassifisere nettverket du står på, er det trygge valget å koble til framfor å anta.
Utløser og håndheving er to ulike ting
Her kommer delen innstillingsskjermen skjuler. En regel for klarert nettverk er en utløser: den bestemmer når klienten skal starte. Den er ikke noen håndhevingsgrense. En hendelsesstyrt oppgave kan nemlig kjøre etter at en annen app allerede har sendt en forespørsel, og det å starte VPN-appen er ikke det samme som å koble til en profil. Et trykk på ikonet kan ende på en innloggingsskjerm uten tunnel bak.
Skal beskyttet trafikk aldri gå utenfor tunnelen, også under klassifisering og oppsett, må garantien komme fra plattformen: always-on VPN med blokkering av tilkoblinger uten VPN, eller tilsvarende policy for administrerte enheter. Listen legges til etterpå, som en optimalisering oppå en grense som allerede holder.
Portalloggin og forespørsler om legitimasjon håndteres gjennom den godkjente arbeidsflyten. Ikke legg et passord igjen i en eksportert automatiseringsjobb, og ikke slå av lockdown for at den glade veien skal gå uten tilsyn. Det er nettopp disse to snarveiene som gjør en komfortfunksjon til det svakeste leddet i kjeden.
Prøv tilfellene som bryter forutsetningen
Gå gjennom disse fem før du stoler på oppsettet: det godkjente klarerte nettverket ditt, et ukjent WPA-sted, et åpent eller Enhanced Open-nettverk, et nettverk appen ikke kan lese navnet på, og en captive portal. Skriv ned om tunnelen kom opp, hvor lang tid det tok, og hva som forlot enheten mens den ennå var på vei opp.
Prøv så overgangen. Når Wi-Fi forsvinner og mobildata tar over, beskriver regelen din fortsatt det du ønsker? Wi-Fi only kan med vilje la mobiltrafikk ligge utenfor VPN-en, men det kan også være en gren ingen har tenkt gjennom. Ta det valget bevisst i profilen i stedet for å oppdage det på toget.
Skriv ned listen over klarerte nettverk, oppførselen på ukjente nettverk, hva som får kommunisere før tunnelen er oppe, og hvem som eier unntakene for arbeidsressurser. Et Wi-Fi-ikon som ser trygt ut og en startet VPN-app svarer ikke på noen av disse spørsmålene. Det gjør listen og håndhevingsregelen.