Как настроить правила доверенных сетей Wi-Fi для VPN на Android
Шифрование — не доверие, а запущенное приложение — не туннель. Задайте список доверенных сетей и решите, что может покинуть устройство, пока VPN подключается.
Откройте VPN-клиент на телефоне, зайдите в настройки автоподключения, и вы найдёте экран, который просит назвать сети, где туннель может оставаться выключенным. Этот экран выглядит как переключатель удобства. На самом деле это документ политики с интерфейсом флажков, и большинство людей заполняют его, отмечая сеть, на которой они случайно стоят. В тот момент, когда вы это делаете, вы ответили на вопрос безопасности значком Wi-Fi. Этот разбор разбирает тот же экран в том порядке, в котором клиент его оценивает.
Начните с того, что на самом деле утверждает флажок
Запись доверенной сети говорит, что в этой сети клиент может пропустить туннель или отложить его. Ничто в SSID или замке не доказывает, что сеть этого заслуживает. WPA2 или WPA3 защищает радиолинк между телефоном и точкой доступа и ничего не говорит о том, кто управляет точкой доступа и что она записывает. Отель, кафе и коворкинг могут публиковать сеть с защитой WPA и всё же управляться кем-то, кому вы не доверили бы рабочую сессию.
Wi-Fi Enhanced Open, обычно называемый OWE, обостряет различие: линк зашифрован, но общего пароля и обычной сетевой аутентификации нет. Шифрование и доверие отвечают на разные вопросы, и клиент, который считает зашифрованное известным-хорошим, тихо их объединил.
Прежде чем что-то добавлять в список, решите, зачем нужен VPN. Если он несёт доступ к приватным рабочим ресурсам, возможно, даже вашей домашней сети он понадобится, и список доверенных должен оставаться почти пустым. Если он существует, чтобы держать вас подальше от чужой инфраструктуры, вопрос становится кто управляет сетью, и этот ответ редко виден на телефоне.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Читайте состояние сети, которое приложение действительно видит
Вторая остановка — условие запуска за списком. Разумная автоматизация оценивает сеть, которую уже выбрал пользователь или платформа. Она не должна искать запомненную открытую точку и присоединяться к ней, чтобы сработало её собственное правило, и не должна считать включённый Wi-Fi готовой сетью.
Android показывает это как отдельные факты: Wi-Fi включён, есть связь с точкой доступа, доступ в интернет подтверждён и VPN завершил рукопожатие. Портал авторизации стоит между подключением и подтверждением, поэтому туннель иногда не поднимается в гостиничной сети, которую телефон бодро называет подключённой. Руководство Android по состоянию сети описывает возможности и обратные вызовы изменений, если вы пишете автоматизацию сами.
Android также ограничивает то, что может узнать фоновое приложение. Детали сети зависят от разрешений и политики платформы, а значение, которое возвращается как недоступное, — не то значение, которое можно считать доверенным. Когда ваша автоматизация не может классифицировать текущую сеть, безопасная ветка — подключиться, а не предполагать.
Держите триггер и принуждение отдельно
Теперь часть, которую скрывает экран настроек. Правило доверенной сети — это триггер: оно решает, когда клиенту начинать. Оно не граница принуждения, потому что задача, запущенная событием, может выполниться после того, как другое приложение уже отправило запрос, и потому что открыть приложение VPN — не то же самое, что подключить профиль. Нажатие на значок может оставить вас на экране входа без туннеля за ним.
Если защищённый трафик никогда не должен выходить за пределы туннеля, в том числе во время классификации и настройки, эта гарантия приходит от платформы: always-on VPN с блокировкой соединений без VPN или эквивалентная политика управляемого устройства. Добавьте список доверенных после, как оптимизацию поверх границы, которая уже держится.
Вход на портал и запросы учётных данных обрабатывайте через одобренный процесс. Не оставляйте пароль в экспортированной задаче автоматизации и не отключайте lockdown, чтобы счастливый путь шёл без надзора. Эти два сокращения — то, как функция удобства становится самым слабым звеном в цепочке.
Проверьте случаи, которые ломают предположение
Пройдите эти пять, прежде чем доверять настройке: ваша одобренная доверенная сеть, незнакомое место с WPA, открытая сеть или Enhanced Open, сеть, имя которой приложение не может прочитать, и портал авторизации. Для каждой отметьте, поднялся ли туннель, сколько это заняло и что покинуло устройство, пока он ещё поднимался.
Затем проверьте передачу. Когда Wi-Fi падает и мобильные данные берут верх, ваше правило всё ещё описывает то, что вы хотите? Wi-Fi only может намеренно оставлять мобильный трафик вне VPN, но это может быть и ветка, о которой никто не подумал. Сделайте этот выбор явным в профиле, а не обнаруживайте его в поезде.
Запишите список доверенных, поведение при незнакомой сети, что может общаться до поднятия туннеля и кто отвечает за исключения для рабочих ресурсов. Значок Wi-Fi, который выглядит безопасно, и открытое приложение VPN не отвечают ни на один из этих вопросов; список и правило принуждения отвечают.