วิธีตั้งกฎ Wi-Fi ที่เชื่อถือได้สำหรับ VPN บน Android
การเข้ารหัสไม่ใช่ความไว้วางใจ และแอปที่เปิดขึ้นมาก็ไม่ใช่อุโมงค์ ตั้งรายการเครือข่ายที่เชื่อถือได้ แล้วตัดสินใจว่าอะไรออกจากอุปกรณ์ได้ระหว่างที่ VPN เชื่อมต่อ
เปิดไคลเอนต์ VPN บนโทรศัพท์ ไปที่การตั้งค่าการเชื่อมต่ออัตโนมัติ แล้วคุณจะพบหน้าจอที่ขอให้ตั้งชื่อเครือข่ายที่อุโมงค์อาจปิดอยู่ได้ หน้าจอนั้นดูเหมือนสวิตช์เพื่อความสะดวก แต่จริง ๆ แล้วเป็นเอกสารนโยบายที่มีอินเทอร์เฟซแบบช่องทำเครื่องหมาย และคนส่วนใหญ่กรอกโดยการติ๊กเครือข่ายที่พวกเขาบังเอิญยืนอยู่ ในวินาทีที่คุณทำเช่นนั้น คุณได้ตอบคำถามด้านความปลอดภัยด้วยไอคอน Wi-Fi แล้ว คำแนะนำนี้จะแยกหน้าจอเดียวกันตามลำดับที่ไคลเอนต์ประเมิน
เริ่มจากสิ่งที่เครื่องหมายอ้างจริง ๆ
รายการเครือข่ายที่เชื่อถือได้บอกว่าในเครือข่ายนี้ไคลเอนต์อาจข้ามอุโมงค์หรือเลื่อนออกไป ไม่มีสิ่งใดใน SSID หรือกุญแจที่พิสูจน์ว่าเครือข่ายสมควรได้รับสิ่งนั้น WPA2 หรือ WPA3 ปกป้องลิงก์วิทยุระหว่างโทรศัพท์กับจุดเข้าถึง และไม่ได้บอกอะไรเกี่ยวกับใครเป็นผู้ดำเนินการจุดเข้าถึงหรือบันทึกอะไร โรงแรม ร้านกาแฟ และพื้นที่ทำงานร่วมกันต่างก็เผยแพร่เครือข่ายที่ป้องกันด้วย WPA ได้ และยังอาจดำเนินการโดยคนที่คุณไม่กล้ามอบช่วงเวลาทำงานให้
Wi-Fi Enhanced Open ซึ่งมักเรียกว่า OWE ทำให้ความแตกต่างคมขึ้น: ลิงก์ถูกเข้ารหัส แต่ไม่มีรหัสผ่านร่วมและไม่มีการพิสูจน์ตัวตนเครือข่ายแบบเดิม การเข้ารหัสและความไว้วางใจตอบคำถามคนละข้อ และไคลเอนต์ที่ถือว่าสิ่งที่เข้ารหัสแล้วเป็นที่รู้กันว่าดีได้รวมสองสิ่งนั้นเข้าด้วยกันอย่างเงียบ ๆ
ก่อนจะเพิ่มอะไรลงในรายการ ให้ตัดสินใจว่า VPN มีไว้เพื่ออะไร หากมันนำการเข้าถึงทรัพยากรงานส่วนตัว แม้แต่เครือข่ายที่บ้านของคุณก็อาจต้องการมัน และรายการที่เชื่อถือได้ควรเกือบว่างเปล่า หากมันมีไว้เพื่อกันคุณออกจากโครงสร้างพื้นฐานของผู้อื่น คำถามก็กลายเป็นใครเป็นผู้ดำเนินการเครือข่าย และคำตอบนั้นแทบไม่เคยปรากฏบนโทรศัพท์
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
อ่านสถานะเครือข่ายที่แอปเห็นได้จริง
จุดแวะที่สองคือเงื่อนไขทริกเกอร์เบื้องหลังรายการ ระบบอัตโนมัติที่สมเหตุสมผลจะประเมินเครือข่ายที่ผู้ใช้หรือแพลตฟอร์มเลือกไว้แล้ว ไม่ควรสแกนหาฮอตสปอตเปิดที่จำไว้แล้วเชื่อมต่อกับมันเพื่อให้กฎของตัวเองทำงาน และไม่ควรถือว่า Wi-Fi ที่เปิดอยู่คือเครือข่ายที่พร้อม
Android แสดงสิ่งเหล่านี้เป็นข้อเท็จจริงแยกกัน: Wi-Fi เปิดใช้งาน เชื่อมโยงกับจุดเข้าถึง มีการยืนยันการเข้าถึงอินเทอร์เน็ต และ VPN ที่จบการจับมือแล้ว พอร์ทัลแบบ captive อยู่ระหว่างการเชื่อมโยงและการยืนยัน นั่นคือเหตุผลที่อุโมงค์บางครั้งล้มเหลวบนเครือข่ายโรงแรมที่โทรศัพท์เรียกอย่างร่าเริงว่าติดต่อแล้ว คู่มือสถานะเครือข่ายของ Android ครอบคลุมความสามารถและ callback การเปลี่ยนแปลงหากคุณเขียนระบบอัตโนมัติเอง
Android ยังจำกัดสิ่งที่แอปเบื้องหลังจะรู้ได้ รายละเอียดเครือข่ายขึ้นอยู่กับสิทธิ์และนโยบายแพลตฟอร์ม และค่าที่ส่งกลับมาเป็นไม่พร้อมใช้งานก็ไม่ใช่ค่าที่คุณจะถือว่าเชื่อถือได้ เมื่อระบบอัตโนมัติของคุณจำแนกเครือข่ายปัจจุบันไม่ได้ สาขาที่ปลอดภัยคือเชื่อมต่อ ไม่ใช่สันนิษฐาน
แยกทริกเกอร์กับการบังคับใช้ให้ห่างกัน
ตอนนี้คือส่วนที่หน้าจอการตั้งค่าซ่อนไว้ กฎเครือข่ายที่เชื่อถือได้คือทริกเกอร์: มันตัดสินว่าไคลเอนต์ควรเริ่มเมื่อใด มัน ไม่ใช่ขอบเขตการบังคับใช้ เพราะงานที่เกิดจากเหตุการณ์สามารถทำงานได้หลังจากแอปอื่นส่งคำขอไปแล้ว และเพราะการเปิดแอป VPN ไม่เหมือนกับการเชื่อมต่อโปรไฟล์ การแตะไอคอนอาจทิ้งคุณไว้ที่หน้าจอเข้าสู่ระบบโดยไม่มีอุโมงค์อยู่ข้างหลัง
หากทราฟฟิกที่ได้รับการป้องกันต้องไม่ออกจากอุโมงค์เลย รวมถึงระหว่างการจำแนกและการตั้งค่า การรับประกันนั้นมาจากแพลตฟอร์ม: always-on VPN ที่บล็อกการเชื่อมต่อโดยไม่มี VPN หรือนโยบายอุปกรณ์ที่ได้รับการจัดการที่เทียบเท่า เพิ่มรายการที่เชื่อถือได้ทีหลัง ในฐานะการปรับให้เหมาะสมบนขอบเขตที่ยึดอยู่แล้ว
จัดการการลงชื่อเข้าใช้พอร์ทัลและการขอข้อมูลรับรองผ่านขั้นตอนที่ได้รับอนุมัติ อย่าวางรหัสผ่านไว้ในงานอัตโนมัติที่ส่งออก และอย่าปิด lockdown เพื่อให้เส้นทางที่ราบรื่นทำงานโดยไม่มีการดูแล สองทางลัดนั้นคือวิธีที่คุณสมบัติเพื่อความสะดวกกลายเป็นข้อต่อที่อ่อนแอที่สุดในโซ่
ทดสอบกรณีที่ทำให้สมมติฐานพัง
เดินผ่านทั้งห้านี้ก่อนจะเชื่อถือการตั้งค่า: เครือข่ายที่เชื่อถือได้ซึ่งได้รับอนุมัติ สถานที่ WPA ที่ไม่คุ้นเคย เครือข่ายเปิดหรือ Enhanced Open เครือข่ายที่แอปอ่านชื่อไม่ได้ และพอร์ทัลแบบ captive สำหรับแต่ละอย่าง ให้บันทึกว่าอุโมงค์ขึ้นหรือไม่ ใช้เวลานานเท่าไร และอะไรออกจากอุปกรณ์ระหว่างที่อุโมงค์ยังขึ้นอยู่
จากนั้นทดสอบการส่งต่อ เมื่อ Wi-Fi หลุดและข้อมูลมือถือเข้ามาแทน กฎที่คุณเขียนยังอธิบายสิ่งที่คุณต้องการอยู่หรือไม่ Wi-Fi only อาจปล่อยทราฟฟิกมือถือไว้นอก VPN โดยเจตนา แต่มันอาจเป็นสาขาที่ไม่มีใครคิดถึงก็ได้ ทำให้ตัวเลือกนั้นชัดเจนในโปรไฟล์แทนที่จะไปค้นพบในรถไฟ
เขียนรายการที่เชื่อถือได้ พฤติกรรมบนเครือข่ายที่ไม่รู้จัก อะไรสื่อสารได้ก่อนอุโมงค์จะขึ้น และใครเป็นเจ้าของข้อยกเว้นสำหรับทรัพยากรงาน ไอคอน Wi-Fi ที่ดูปลอดภัยและแอป VPN ที่เปิดขึ้นไม่ตอบคำถามเหล่านี้สักข้อ รายการและกฎการบังคับใช้ต่างหากที่ตอบ