Как запретить ноутбуку автоматически подключаться к старой точке доступа

Устройство подключается к старой точке доступа ещё до запуска VPN, а затем туннель поднимается поверх сети, которую никто не выбирал. Именно этот порядок событий и есть вся проблема. К какой сети подключается устройство — решение операционной системы, а поднят ли туннель первым — решение политики клиента. Они живут в разных местах, и исправление одного не исправляет другое.

Решите, что именно из этих двух вам действительно нужно изменить, прежде чем начинать щёлкать.

Какой уровень владеет решением о подключении

Сохранённые сети и автоподключение принадлежат ОС: настройки Wi-Fi в macOS, список сохранённых сетей в Android, список известных сетей в Windows. VPN-клиент может влиять на это только там, где поставщик предлагает явную интеграцию, а большинство не предлагает. Предположение, что туннель управляет порядком подключения, приводит к изменению настроек VPN, которые никогда не были задействованы.

Работа туннеля начинается после того, как соединение поднято. У него нет голоса в том, какое это соединение.

Правильно очистите сохранённую сеть

Удалите запись, а не понижайте её приоритет. На большинстве платформ забытая сеть не подключится автоматически снова, тогда как сеть с пониженным приоритетом всё равно подключится, когда нет ничего лучше. Перед завершением убедитесь, что нужное домашнее или рабочее подключение всё ещё существует, и не удаляйте управляемые записи без процесса владельца. На управляемом устройстве запись может быть добавлена политикой и снова появиться после удаления, и это вопрос поддержки, а не настроек.

Здесь ориентир — документация самой платформы, а не стороннее руководство, написанное для другой версии. Заметка Apple о забывании сети Wi-Fi — это краткая версия для macOS.

Запомненный SSID — не то место, которому вы доверяли

Сохранённое имя — это всего лишь строка. Точка доступа может транслировать то же имя совсем из другого места, и именно так устройство подключается к чему-то, что лишь выглядит знакомым. Проверьте сеть, прежде чем вводить данные портала, и воспринимайте неожиданную страницу перехвата в известном SSID как сигнал, а не как помеху. Этот риск отделён от автоподключения, хотя забывание сети снижает оба. Сетевые заведения используют один и тот же SSID в каждом филиале, поэтому имя может быть подлинным в двух городах и враждебным в третьем.

Совпадение имён — это удобство, а не аутентификация.

Проверьте запуск VPN отдельно

Автоматическое подключение и блокировка вне туннеля — две разные политики, и у клиента может быть одна без другой. Устройство может подключиться к сети, оставаться онлайн некоторое время и только затем установить туннель. Тестируйте с нечувствительным трафиком, чтобы наблюдать порядок запуска и то, что происходит при обычной смене сети. Профиль, который переподключается позже, ничего не говорит об интервале до этого.

Если этот интервал важен, нужный вам контроль — это политика блокировки, а не настройка автоподключения.

Что делать с порталами перехвата

Строгая блокировка ломает порталы перехвата по замыслу, потому что порталу нужен трафик, который туннель иначе бы захватил. Используйте одобренную процедуру начального подключения, держите её задокументированной и не отключайте несвязанные настройки каждый раз, когда страница не загружается.

Эта процедура — решение с владельцем. Без владельца люди придумывают свою версию, и придуманная версия обычно навсегда отключает защиту.