Jak ustawić reguły zaufanych sieci Wi-Fi dla VPN-a w Androidzie
Szyfrowanie nie jest zaufaniem, a uruchomiona aplikacja nie jest tunelem. Ustaw listę zaufanych sieci, a potem zdecyduj, co może opuścić urządzenie, gdy VPN się łączy.
Otwórz klienta VPN w telefonie, wejdź w ustawienia automatycznego łączenia, a znajdziesz ekran, który prosi o nazwanie sieci, w których tunel może pozostać wyłączony. Ten ekran wygląda jak wygodny przełącznik. W rzeczywistości jest dokumentem polityki z interfejsem pól wyboru, a większość ludzi wypełnia go, zaznaczając sieć, w której akurat stoi. W momencie, w którym to robisz, odpowiedziałeś na pytanie o bezpieczeństwo ikoną Wi-Fi. Ten przewodnik rozkłada ten sam ekran w kolejności, w jakiej ocenia go klient.
Zacznij od tego, co zaznaczenie naprawdę twierdzi
Wpis zaufanej sieci mówi, że w tej sieci klient może pominąć tunel lub go opóźnić. Nic w SSID ani w kłódce nie dowodzi, że sieć na to zasługuje. WPA2 lub WPA3 chroni łącze radiowe między telefonem a punktem dostępowym i nie mówi nic o tym, kto obsługuje punkt dostępowy ani co rejestruje. Hotel, kawiarnia i przestrzeń coworkingowa mogą publikować sieć chronioną WPA i wciąż być obsługiwane przez kogoś, komu nie powierzyłbyś sesji pracy.
Wi-Fi Enhanced Open, zwykle nazywany OWE, wyostrza tę różnicę: łącze jest szyfrowane, ale nie ma wspólnego hasła ani konwencjonalnego uwierzytelniania sieci. Szyfrowanie i zaufanie odpowiadają na różne pytania, a klient, który traktuje szyfrowane jako znane-dobre, po cichu je połączył.
Zanim cokolwiek dodasz do listy, zdecyduj, do czego służy VPN. Jeśli przenosi dostęp do prywatnych zasobów pracy, może go potrzebować nawet twoja sieć domowa, a lista zaufanych powinna pozostać prawie pusta. Jeśli istnieje po to, by trzymać cię z dala od infrastruktury innych, pytanie brzmi, kto obsługuje sieć, a ta odpowiedź rzadko jest widoczna w telefonie.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Czytaj stan sieci, który aplikacja naprawdę widzi
Drugi przystanek to warunek wyzwalania stojący za listą. Rozsądna automatyzacja ocenia sieć, którą użytkownik lub platforma już wybrali. Nie powinna skanować w poszukiwaniu zapamiętanego otwartego hotspotu i łączyć się z nim, żeby jej własna reguła zadziałała, ani traktować włączonego Wi-Fi jako gotowej sieci.
Android pokazuje to jako osobne fakty: Wi-Fi włączone, powiązane z punktem dostępowym, zweryfikowany dostęp do internetu i VPN, który zakończył uścisk dłoni. Portal captive leży między powiązaniem a weryfikacją, dlatego tunel czasem zawodzi w sieci hotelowej, którą telefon wesoło nazywa połączoną. Przewodnik Androida po stanie sieci omawia możliwości i wywołania zwrotne zmian, jeśli piszesz automatyzację sam.
Android ogranicza też to, co może wiedzieć aplikacja w tle. Szczegóły sieci zależą od uprawnień i polityki platformy, a wartość zwrócona jako niedostępna nie jest wartością, którą wolno traktować jako zaufaną. Gdy twoja automatyzacja nie potrafi sklasyfikować bieżącej sieci, bezpieczną gałęzią jest połączenie, a nie założenie.
Trzymaj wyzwalacz i egzekwowanie osobno
Teraz część, którą ukrywa ekran ustawień. Reguła zaufanej sieci jest wyzwalaczem: decyduje, kiedy klient ma zacząć. Nie jest granicą egzekwowania, bo zadanie uruchamiane zdarzeniem może działać po tym, jak inna aplikacja już wysłała żądanie, i bo otwarcie aplikacji VPN nie jest tym samym co podłączenie profilu. Dotknięcie ikony może zostawić cię na ekranie logowania bez tunelu za nim.
Jeśli chroniony ruch nigdy nie ma opuszczać tunelu, także podczas klasyfikacji i konfiguracji, gwarancja pochodzi z platformy: always-on VPN z blokowaniem połączeń bez VPN albo równoważna polityka zarządzanego urządzenia. Dodaj listę zaufanych później, jako optymalizację na granicy, która już się trzyma.
Logowanie do portalu i prośby o dane uwierzytelniające obsługuj przez zatwierdzony przepływ pracy. Nie zostawiaj hasła w wyeksportowanym zadaniu automatyzacji i nie wyłączaj lockdownu, żeby szczęśliwa ścieżka działała bez nadzoru. Te dwa skróty sprawiają, że funkcja wygody staje się najsłabszym ogniwem łańcucha.
Przetestuj przypadki, które łamią założenie
Przejdź te pięć, zanim zaufasz konfiguracji: twoja zatwierdzona zaufana sieć, nieznane miejsce z WPA, sieć otwarta lub Enhanced Open, sieć, której nazwy aplikacja nie potrafi odczytać, oraz portal captive. Dla każdej zanotuj, czy tunel wstał, ile to trwało i co opuściło urządzenie, gdy tunel jeszcze wstawał.
Potem przetestuj przełączenie. Gdy Wi-Fi spada i przejmują dane mobilne, czy twoja reguła wciąż opisuje to, czego chcesz? Wi-Fi only może celowo zostawiać ruch mobilny poza VPN-em, ale może też być gałęzią, o której nikt nie pomyślał. Uczyń ten wybór jawnym w profilu, zamiast odkrywać go w pociągu.
Zapisz listę zaufanych, zachowanie wobec nieznanej sieci, to, co może się komunikować, zanim tunel wstanie, i kto odpowiada za wyjątki dla zasobów pracy. Ikona Wi-Fi wyglądająca bezpiecznie i otwarta aplikacja VPN nie odpowiadają na żadne z tych pytań; odpowiadają lista i reguła egzekwowania.