Como definir regras de Wi-Fi de confiança para a sua VPN Android
A cifra não é confiança, e uma aplicação aberta não é um túnel. Defina a lista de redes de confiança e depois decida o que pode sair do dispositivo enquanto a VPN liga.
Abra o cliente VPN no telemóvel, vá às definições de ligação automática e encontrará um ecrã que lhe pede para nomear as redes onde o túnel pode ficar desligado. Esse ecrã parece um interruptor de conveniência. É um documento de política com uma interface de caixas de seleção, e a maioria das pessoas preenche-o marcando a rede em que por acaso está. No momento em que o faz, respondeu a uma pergunta de segurança com um ícone de Wi-Fi. Este guia desmonta o mesmo ecrã pela ordem em que o cliente o avalia.
Comece pelo que a marca afirma de facto
Uma entrada de rede de confiança diz que nesta rede o cliente pode saltar o túnel ou atrasá-lo. Nada no SSID ou no cadeado prova que a rede o merece. WPA2 ou WPA3 protege a ligação de rádio entre o telemóvel e o ponto de acesso, e não diz nada sobre quem opera o ponto de acesso ou o que registra. Um hotel, um café e um espaço de coworking podem todos publicar uma rede protegida por WPA e ainda assim serem operados por alguém a quem não confiaria uma sessão de trabalho.
Wi-Fi Enhanced Open, normalmente chamado OWE, afina a distinção: a ligação é cifrada, mas não há palavra-passe partilhada nem autenticação de rede convencional. Cifra e confiança respondem a perguntas diferentes, e um cliente que trata o cifrado como conhecido-bom fundiu os dois em silêncio.
Antes de acrescentar algo à lista, decida para que serve a VPN. Se transporta acesso a recursos de trabalho privados, talvez até a sua rede doméstica precise dela e a lista de confiança deve ficar quase vazia. Se existe para o manter fora da infraestrutura dos outros, a pergunta passa a ser quem opera a rede, e essa resposta raramente se vê no telemóvel.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Leia o estado de rede que a aplicação consegue mesmo ver
A segunda paragem é a condição de ativação por trás da lista. Uma automatização sensata avalia a rede que o utilizador ou a plataforma já escolheram. Não deve procurar um hotspot aberto memorizado e ligar-se a ele para que a sua própria regra dispare, nem tratar o Wi-Fi ligado como uma rede pronta.
O Android expõe isto como factos separados: Wi-Fi ativado, associado a um ponto de acesso, acesso à internet validado e uma VPN que terminou o aperto de mão. Um portal cativo fica entre a associação e a validação, e é por isso que o túnel às vezes falha numa rede de hotel que o telemóvel chama alegremente de ligada. O guia do Android sobre o estado da rede cobre capacidades e callbacks de mudança se escrever a automatização sozinho.
O Android também limita o que uma aplicação em segundo plano pode saber. Os detalhes da rede dependem de permissões e da política da plataforma, e um valor que volta como indisponível não é um valor que possa tratar como fiável. Quando a sua automatização não consegue classificar a rede atual, o ramo seguro é ligar em vez de presumir.
Mantenha o gatilho e a aplicação separados
Agora a parte que o ecrã de definições esconde. Uma regra de rede de confiança é um gatilho: decide quando o cliente deve começar. Não é uma fronteira de aplicação, porque uma tarefa acionada por evento pode correr depois de outra aplicação já ter enviado um pedido, e porque abrir a aplicação de VPN não é o mesmo que ligar um perfil. Tocar no ícone pode deixá-lo num ecrã de início de sessão sem qualquer túnel por trás.
Se o tráfego protegido nunca deve sair fora do túnel, incluindo durante a classificação e a configuração, essa garantia vem da plataforma: VPN sempre ativa com bloqueio de ligações sem VPN, ou uma política equivalente de dispositivo gerido. Acrescente a lista de confiança depois, como uma otimização sobre uma fronteira que já aguenta.
Trate o início de sessão do portal e os pedidos de credenciais pelo fluxo aprovado. Não deixe uma palavra-passe numa tarefa de automatização exportada e não desative o lockdown para que o caminho feliz corra sem supervisão. Esses dois atalhos são a forma como uma funcionalidade de conveniência se torna o elo mais fraco da cadeia.
Teste os casos que quebram a suposição
Percorra estes cinco antes de confiar na configuração: a sua rede de confiança aprovada, um local WPA desconhecido, uma rede aberta ou Enhanced Open, uma rede cujo nome a aplicação não consegue ler e um portal cativo. Para cada uma, anote se o túnel subiu, quanto tempo levou e o que saiu do dispositivo enquanto ainda subia.
Depois teste a passagem. Quando o Wi-Fi cai e os dados móveis assumem, a sua regra ainda descreve o que quer? Wi-Fi only pode deixar deliberadamente o tráfego móvel fora da VPN, mas também pode ser um ramo em que ninguém pensou. Torne essa escolha explícita no perfil em vez de a descobrir num comboio.
Anote a lista de confiança, o comportamento com redes desconhecidas, o que pode comunicar antes de o túnel estar levantado e quem é dono das exceções para recursos de trabalho. Um ícone de Wi-Fi com ar seguro e uma aplicação de VPN aberta não respondem a nenhuma dessas perguntas; a lista e a regra de aplicação sim.