Como impedir que o portátil se ligue automaticamente a um hotspot antigo

O dispositivo liga-se a um hotspot antigo antes de a VPN arrancar, e depois o túnel sobe sobre uma rede que ninguém escolheu. Essa ordem dos acontecimentos é todo o problema. A que rede o dispositivo se liga é uma decisão do sistema operativo, e se o túnel está ativo primeiro é uma decisão da política do cliente. Vivem em sítios diferentes, e corrigir um não corrige o outro.

Decida qual dos dois precisa realmente de mudar antes de começar a clicar.

Que camada é dona da decisão de ligação

As redes guardadas e a ligação automática pertencem ao sistema operativo: as definições de Wi-Fi no macOS, a lista de redes guardadas no Android, a lista de redes conhecidas no Windows. Um cliente de VPN só pode influenciar isto onde o fornecedor oferece uma integração explícita, e a maioria não oferece. Assumir que o túnel controla a ordem de ligação leva a alterar definições de VPN que nunca estiveram envolvidas.

O trabalho do túnel começa depois de o enlace estar ativo. Não tem voto sobre qual é esse enlace.

Limpe bem a rede guardada

Remova a entrada em vez de a colocar mais abaixo. Na maioria das plataformas, uma rede esquecida não volta a ligar-se automaticamente, enquanto uma rede com prioridade reduzida ainda o fará quando não houver nada melhor. Confirme que a ligação de casa ou de trabalho pretendida ainda existe antes de terminar, e não remova entradas geridas sem o processo do proprietário. Num dispositivo gerido, a entrada pode ser empurrada por política e reaparecer após a remoção, o que é uma questão de suporte e não de definições.

Aqui a referência é a documentação da própria plataforma, não um guia de terceiros escrito para outra versão. A nota da Apple sobre esquecer uma rede Wi-Fi é a versão curta para macOS.

Um SSID memorizado não é o local em que confiou

Um nome guardado é apenas uma cadeia. Um ponto de acesso pode transmitir o mesmo nome a partir de um local completamente diferente, e é assim que um dispositivo se liga a algo que apenas parece familiar. Verifique a rede antes de introduzir credenciais do portal, e trate uma página cativa inesperada num SSID conhecido como um sinal e não como um incómodo. Esse risco é separado da ligação automática, embora esquecer a rede reduza ambos. Os locais de cadeia reutilizam o mesmo SSID em cada filial, por isso o nome pode ser genuíno em duas cidades e hostil numa terceira.

A correspondência de nomes é comodidade, não autenticação.

Verifique o arranque da VPN em separado

A ligação automática e o bloqueio fora do túnel são duas políticas diferentes, e um cliente pode ter uma sem a outra. Um dispositivo pode ligar-se a uma rede, ficar online durante um tempo e só depois estabelecer o túnel. Teste com tráfego não sensível para observar a ordem de arranque e o que acontece numa mudança de rede comum. Um perfil que se volta a ligar mais tarde não diz nada sobre o intervalo anterior.

Se esse intervalo importa, o controlo de que precisa é a política de bloqueio, não a definição de ligação automática.

O que fazer com os portais cativos

O bloqueio estrito quebra os portais cativos por desenho, porque o portal precisa de tráfego que o túnel capturaria de outra forma. Use um procedimento de arranque aprovado, mantenha-o documentado e não desative definições não relacionadas sempre que uma página não carrega.

Esse procedimento é uma decisão com um proprietário. Sem proprietário, as pessoas inventam a sua própria versão, e a versão inventada costuma desativar a proteção de forma permanente.