Како поставити правила поузданих Wi-Fi мрежа за Android VPN
Шифровање није поверење, а отворена апликација није тунел. Поставите листу поузданих мрежа, па одлучите шта сме да напусти уређај док се VPN повезује.
Отворите VPN клијент на телефону, уђите у подешавања аутоматског повезивања и наћи ћете екран који тражи да именујете мреже на којима тунел може остати искључен. Тај екран изгледа као прекидач за удобност. У ствари је то документ политике са интерфејсом поља за потврду, и већина људи га попуни тако што означи мрежу на којој се случајно затекла. У тренутку када то урадите, одговорили сте на безбедносно питање иконом Wi-Fi. Овај водич раставља исти екран редом којим га клијент процењује.
Почните од онога што ознака заиста тврди
Ставка поуздане мреже каже да на овој мрежи клијент сме да прескочи тунел или да га одложи. Ништа у SSID-у ни катанац не доказује да мрежа то заслужује. WPA2 или WPA3 штити радио-везу између телефона и приступне тачке и не говори ништа о томе ко управља приступном тачком или шта бележи. Хотел, кафић и простор за заједнички рад могу објавити мрежу заштићену WPA-ом, а ипак је може водити неко коме не бисте поверили радну сесију.
Wi-Fi Enhanced Open, обично OWE, заоштрава разлику: веза је шифрована, али нема заједничке лозинке ни уобичајене мрежне аутентификације. Шифровање и поверење одговарају на различита питања, а клијент који шифровано третира као познато-добро тихо их је спојио.
Пре него што било шта додате на листу, одлучите чему VPN служи. Ако носи приступ приватним радним ресурсима, можда ће га требати и ваша кућна мрежа, а листа поузданих треба да остане готово празна. Ако постоји да вас држи подаље од туђе инфраструктуре, питање постаје ко управља мрежом, а тај одговор се ретко види на телефону.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Читајте стање мреже које апликација заиста може да види
Друга станица је услов покретања иза листе. Разумна аутоматизација процењује мрежу коју су корисник или платформа већ изабрали. Не треба да тражи запамћену отворену приступну тачку и придружује јој се како би се њено правило активирало, нити треба укључен Wi-Fi да сматра спремном мрежом.
Android то излаже као одвојене чињенице: Wi-Fi омогућен, повезан са приступном тачком, проверен приступ интернету и VPN који је завршио руковање. Captive портал стоји између повезивања и провере, зато тунел понекад не успе на хотелској мрежи коју телефон весело назива повезаном. Android водич за стање мреже покрива могућности и повратне позиве промена ако сами пишете аутоматизацију.
Android такође ограничава шта позадинска апликација може да сазна. Детаљи мреже зависе од дозвола и политике платформе, а вредност која се врати као недоступна није вредност коју смеете третирати као поуздану. Када ваша аутоматизација не може да класификује тренутну мрежу, сигурна грана је повезати се, а не претпоставити.
Држите окидач и спровођење одвојено
Сада део који екран подешавања скрива. Правило поуздане мреже је окидач: одлучује када клијент треба да почне. Оно није граница спровођења, јер задатак покренут догађајем може да се изврши након што је друга апликација већ послала захтев, и јер покретање VPN апликације није исто као повезивање профила. Додир на икону може вас оставити на екрану за пријаву без тунела иза њега.
Ако заштићени саобраћај никада не сме да напусти тунел, укључујући током класификације и постављања, то јемство долази од платформе: always-on VPN са блокирањем веза без VPN-а или еквивалентна политика управљаног уређаја. Додајте листу поузданих после тога, као оптимизацију изнад границе која већ држи.
Пријаву на порталу и захтеве за акредитивима обрађујте одобреним током рада. Не остављајте лозинку у извезеном задатку аутоматизације и не искључујте lockdown да би срећни пут радио без надзора. Та два пречица су начин на који функција удобности постаје најслабија карика у ланцу.
Тестирајте случајеве који руше претпоставку
Прођите ових пет пре него што поверујете поставци: ваша одобрена поуздана мрежа, непознато место са WPA-ом, отворена мрежа или Enhanced Open, мрежа чије име апликација не може да прочита и captive портал. За сваку забележите да ли се тунел подигао, колико је трајало и шта је напустило уређај док се још дизао.
Затим тестирајте примопредају. Када Wi-Fi падне и мобилни подаци преузму, да ли правило које сте написали још увек описује оно што желите? Wi-Fi only може намерно да остави мобилни саобраћај изван VPN-а, али може бити и грана о којој нико није размишљао. Учините тај избор експлицитним у профилу уместо да га откријете у возу.
Запишите листу поузданих, понашање код непознате мреже, шта сме да комуницира пре него што се тунел подигне и коме припадају изузеци за радне ресурсе. Икона Wi-Fi која изгледа безбедно и отворена VPN апликација не одговарају ни на једно од тих питања; листа и правило спровођења одговарају.