Як налаштувати правила довірених мереж Wi-Fi для VPN на Android
Шифрування — це не довіра, а запущений застосунок — не тунель. Задайте список довірених мереж і вирішіть, що може залишити пристрій, поки VPN підключається.
Відкрийте VPN-клієнт на телефоні, зайдіть у налаштування автопідключення, і ви знайдете екран, який просить назвати мережі, де тунель може залишатися вимкненим. Цей екран виглядає як перемикач зручності. Насправді це документ політики з інтерфейсом прапорців, і більшість людей заповнюють його, позначаючи мережу, у якій вони випадково стоять. У ту мить, коли ви це робите, ви відповіли на питання безпеки значком Wi-Fi. Цей розбір розбирає той самий екран у тому порядку, у якому клієнт його оцінює.
Почніть з того, що насправді стверджує прапорець
Запис довіреної мережі каже, що в цій мережі клієнт може пропустити тунель або відкласти його. Ніщо в SSID чи замку не доводить, що мережа цього варта. WPA2 або WPA3 захищає радіолінію між телефоном і точкою доступу й нічого не говорить про те, хто керує точкою доступу і що вона записує. Готель, кафе й коворкінг можуть публікувати мережу із захистом WPA і все одно керуватися кимось, кому ви не довірили б робочу сесію.
Wi-Fi Enhanced Open, який зазвичай називають OWE, загострює різницю: лінія зашифрована, але спільного пароля й звичайної мережевої автентифікації немає. Шифрування й довіра відповідають на різні питання, і клієнт, який вважає зашифроване відомим-добрим, тихо їх об'єднав.
Перш ніж щось додавати до списку, вирішіть, для чого VPN. Якщо він несе доступ до приватних робочих ресурсів, можливо, навіть вашій домашній мережі він знадобиться, і список довірених має залишатися майже порожнім. Якщо він існує, щоб тримати вас подалі від чужої інфраструктури, питання стає хто керує мережею, і ця відповідь рідко видна на телефоні.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Читайте стан мережі, який застосунок справді бачить
Друга зупинка — умова запуску за списком. Розумна автоматизація оцінює мережу, яку користувач або платформа вже обрали. Вона не повинна шукати запам'ятовану відкриту точку й долучатися до неї, щоб спрацювало її власне правило, і не повинна вважати ввімкнений Wi-Fi готовою мережею.
Android показує це як окремі факти: Wi-Fi увімкнено, є зв'язок із точкою доступу, доступ в інтернет підтверджено і VPN завершив рукостискання. Портал авторизації стоїть між долученням і підтвердженням, тому тунель іноді не піднімається в готельній мережі, яку телефон бадьоро називає підключеною. Посібник Android про стан мережі описує можливості й зворотні виклики змін, якщо ви пишете автоматизацію самі.
Android також обмежує те, що може дізнатися фоновий застосунок. Деталі мережі залежать від дозволів і політики платформи, а значення, що повертається як недоступне, — не те значення, яке можна вважати довіреним. Коли ваша автоматизація не може класифікувати поточну мережу, безпечна гілка — підключитися, а не припускати.
Тримайте тригер і примус окремо
Тепер частина, яку приховує екран налаштувань. Правило довіреної мережі — це тригер: воно вирішує, коли клієнту починати. Воно не межа примусу, тому що завдання, запущене подією, може виконатися після того, як інший застосунок уже надіслав запит, і тому що відкрити застосунок VPN — не те саме, що підключити профіль. Дотик до значка може залишити вас на екрані входу без тунелю за ним.
Якщо захищений трафік ніколи не повинен виходити за межі тунелю, зокрема під час класифікації та налаштування, ця гарантія надходить від платформи: always-on VPN із блокуванням з'єднань без VPN або еквівалентна політика керованого пристрою. Додайте список довірених після цього, як оптимізацію поверх межі, що вже тримається.
Вхід на портал і запити облікових даних обробляйте через схвалений процес. Не залишайте пароль в експортованому завданні автоматизації й не вимикайте lockdown, щоб щасливий шлях ішов без нагляду. Ці два скорочення — те, як функція зручності стає найслабшою ланкою в ланцюгу.
Перевірте випадки, які ламають припущення
Пройдіть ці п'ять, перш ніж довіряти налаштуванню: ваша схвалена довірена мережа, незнайоме місце з WPA, відкрита мережа або Enhanced Open, мережа, ім'я якої застосунок не може прочитати, і портал авторизації. Для кожної позначте, чи піднявся тунель, скільки це тривало і що залишило пристрій, поки він ще піднімався.
Потім перевірте передачу. Коли Wi-Fi падає й мобільні дані беруть гору, чи ваше правило все ще описує те, що ви хочете? Wi-Fi only може навмисно залишати мобільний трафік поза VPN, але це може бути й гілка, про яку ніхто не подумав. Зробіть цей вибір явним у профілі, а не виявляйте його в потязі.
Запишіть список довірених, поведінку в незнайомій мережі, що може спілкуватися до підняття тунелю і хто відповідає за винятки для робочих ресурсів. Значок Wi-Fi, який виглядає безпечно, і відкритий застосунок VPN не відповідають на жодне з цих питань; список і правило примусу відповідають.