Så här ställer du in regler för betrodda Wi-Fi-nätverk för din Android-VPN
Kryptering är inte tillit, och en öppnad app är inte en tunnel. Ställ in listan över betrodda nätverk och bestäm sedan vad som får lämna enheten medan VPN:en ansluter.
Öppna VPN-klienten på telefonen, gå till inställningarna för automatisk anslutning och du hittar en skärm som ber dig namnge de nätverk där tunneln får vara avstängd. Skärmen ser ut som en bekvämlighetsbrytare. Den är ett policydokument med kryssrutor, och de flesta fyller i den genom att kryssa för nätverket de råkar stå på. I samma stund har du besvarat en säkerhetsfråga med en Wi-Fi-ikon. Den här genomgången plockar isär samma skärm i den ordning klienten bedömer den.
Börja med vad krysset faktiskt påstår
En post för ett betrott nätverk säger att klienten i det här nätverket får hoppa över tunneln eller skjuta upp den. Inget i SSID:t eller hänglåset bevisar att nätverket förtjänar det. WPA2 eller WPA3 skyddarradiolänken mellan telefonen och åtkomstpunkten och säger inget om vem som driver åtkomstpunkten eller vad den loggar. Ett hotell, ett kafé och ett kontorshotell kan alla publicera ett WPA-skyddat nätverk och ändå drivas av någon du inte skulle lämna ett arbetspass till.
Wi-Fi Enhanced Open, vanligen kallat OWE, skärper skillnaden: länken är krypterad, men det finns inget gemensamt lösenord och ingen konventionell nätverksautentisering. Kryptering och tillit svarar på olika frågor, och en klient som behandlar krypterat som känt-bra har tyst slagit ihop dem.
Innan du lägger till något i listan måste du bestämma vad VPN:en är till för. Om den bär åtkomst till privata arbetsresurser kan till och med ditt hemnätverk behöva den, och listan bör förbli nästan tom. Om den finns för att hålla dig borta från andras infrastruktur blir frågan vem som driver nätverket, och det svaret syns sällan på telefonen.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Läs nätverksläget som appen faktiskt kan se
Det andra stoppet är utlösarvillkoret bakom listan. En vettig automatisering bedömer nätverket som användaren eller plattformen redan valt. Den bör inte skanna efter en sparad öppen hotspot och ansluta till den för att dess egen regel ska slå till, och den bör inte behandla påslaget Wi-Fi som ett nätverk som är klart.
Android visar dessa som separata fakta: Wi-Fi aktiverat, associerat med en åtkomstpunkt, validerad internetåtkomst och en VPN som har avslutat sitt handskakning. En captive portal ligger mellan associering och validering, och därför misslyckas tunneln ibland på ett hotellnätverk som telefonen glatt kallar anslutet. Androids guide om nätverksläge täcker funktioner och ändringsåteranrop om du skriver automatiseringen själv.
Android begränsar också vad en bakgrundsapp kan veta. Nätverksdetaljer beror på behörigheter och plattformspolicy, och ett värde som kommer tillbaka som otillgängligt är inget värde du får behandla som betrott. När automatiseringen inte kan klassificera det aktuella nätverket är den säkra grenen att ansluta i stället för att anta.
Håll utlösaren och genomdrivandet åtskilda
Nu den del som inställningsskärmen döljer. En regel för betrott nätverk är en utlösare: den avgör när klienten ska börja. Den är inte en genomdrivandegräns, eftersom en händelsestyrd uppgift kan köras efter att en annan app redan skickat en begäran, och eftersom det att starta VPN-appen inte är samma sak som att ansluta en profil. Ett tryck på ikonen kan lämna dig på en inloggningsskärm utan tunnel bakom.
Om skyddad trafik aldrig får lämna tunneln, även under klassificering och uppsättning, kommer garantin från plattformen: always-on VPN med blockering av anslutningar utan VPN, eller en motsvarande policy för hanterade enheter. Lägg till listan efteråt, som en optimering ovanpå en gräns som redan håller.
Hantera portalinloggning och förfrågningar om autentiseringsuppgifter via det godkända arbetsflödet. Parkera inte ett lösenord i en exporterad automatiseringsuppgift, och stäng inte av lockdown så att den lyckliga vägen körs utan tillsyn. De två genvägarna är hur en bekvämlighetsfunktion blir den svagaste länken i kedjan.
Testa fallen som bryter antagandet
Gå igenom dessa fem innan du litar på inställningen: ditt godkända betrodda nätverk, en okänd WPA-plats, ett öppet eller Enhanced Open-nätverk, ett nätverk vars namn appen inte kan läsa, och en captive portal. Anteckna för varje om tunneln kom upp, hur lång tid det tog och vad som lämnade enheten medan den fortfarande kom upp.
Testa sedan överlämningen. När Wi-Fi faller bort och mobildata tar över, beskriver regeln du skrev fortfarande det du vill? Wi-Fi only kan medvetet lämna mobiltrafik utanför VPN:en, men det kan också vara en gren ingen tänkt på. Gör det valet explicit i profilen i stället för att upptäcka det på ett tåg.
Skriv ner listan över betrodda nätverk, beteendet på okända nätverk, vad som får kommunicera innan tunneln är uppe och vem som äger undantagen för arbetsresurser. En säker utseende Wi-Fi-ikon och en startad VPN-app svarar inte på någon av de frågorna; listan och genomdrivanderegeln gör det.