Cách đặt quy tắc Wi-Fi tin cậy cho VPN Android của bạn
Mã hóa không phải là tin cậy, và ứng dụng đã mở không phải là đường hầm. Hãy lập danh sách mạng tin cậy, rồi quyết định điều gì được rời khỏi thiết bị trong khi VPN kết nối.
Mở ứng dụng VPN trên điện thoại, vào phần cài đặt tự động kết nối, và bạn sẽ thấy một màn hình yêu cầu đặt tên cho những mạng mà đường hầm có thể tắt. Màn hình đó trông như một công tắc tiện lợi. Thực ra nó là một tài liệu chính sách với giao diện ô chọn, và hầu hết mọi người điền bằng cách đánh dấu mạng mà họ tình cờ đứng trên đó. Ngay khoảnh khắc bạn làm vậy, bạn đã trả lời một câu hỏi bảo mật bằng biểu tượng Wi-Fi. Hướng dẫn này tháo rời chính màn hình đó theo thứ tự mà ứng dụng đánh giá nó.
Bắt đầu từ điều mà dấu chọn thực sự khẳng định
Một mục mạng tin cậy nói rằng trên mạng này ứng dụng có thể bỏ qua đường hầm hoặc hoãn nó. Không có gì trong SSID hay ổ khóa chứng minh mạng đó xứng đáng. WPA2 hoặc WPA3 bảo vệ liên kết vô tuyến giữa điện thoại và điểm truy cập, và không nói gì về việc ai vận hành điểm truy cập hay nó ghi lại những gì. Một khách sạn, một quán cà phê và một không gian làm việc chung đều có thể công bố mạng được bảo vệ bằng WPA mà vẫn do một người mà bạn không giao phiên làm việc vận hành.
Wi-Fi Enhanced Open, thường gọi là OWE, làm sắc nét sự khác biệt: liên kết được mã hóa, nhưng không có mật khẩu chia sẻ và không có xác thực mạng thông thường. Mã hóa và tin cậy trả lời những câu hỏi khác nhau, và một ứng dụng coi thứ đã mã hóa là đã-biết-tốt đã âm thầm gộp hai thứ đó lại.
Trước khi thêm bất cứ điều gì vào danh sách, hãy quyết định VPN dùng để làm gì. Nếu nó mang quyền truy cập vào tài nguyên công việc riêng tư, có thể ngay cả mạng nhà bạn cũng cần nó và danh sách tin cậy nên gần như trống. Nếu nó tồn tại để giữ bạn tránh xa hạ tầng của người khác, câu hỏi trở thành ai vận hành mạng, và câu trả lời đó hiếm khi hiện trên điện thoại.
| What the phone shows | What it actually proves |
|---|---|
| Padlock with WPA2 or WPA3 | Link encryption to the access point, not the operator's identity |
| SSID matches your home name | A name only; a profile can be renamed or cloned |
| OWE or Enhanced Open | Encryption without a shared secret or network authentication |
| Connected, no internet | Association without validated reachability |
| No SSID visible to the app | Nothing useful; treat it as unknown rather than trusted |
Đọc trạng thái mạng mà ứng dụng thực sự thấy được
Điểm dừng thứ hai là điều kiện kích hoạt phía sau danh sách. Một hệ tự động hợp lý đánh giá mạng mà người dùng hoặc nền tảng đã chọn. Nó không nên quét tìm một điểm truy cập mở đã ghi nhớ rồi tham gia để quy tắc của chính nó kích hoạt, và không nên coi Wi-Fi đang bật là mạng đã sẵn sàng.
Android trình bày những điều này như các sự kiện riêng biệt: Wi-Fi đã bật, đã liên kết với điểm truy cập, quyền truy cập internet đã xác thực, và một VPN đã hoàn tất bắt tay. Cổng captive nằm giữa liên kết và xác thực, đó là lý do đường hầm đôi khi thất bại trên mạng khách sạn mà điện thoại vui vẻ gọi là đã kết nối. Nếu bạn tự viết hệ tự động, hướng dẫn trạng thái mạng của Android bao quát các khả năng và callback thay đổi.
Android cũng giới hạn những gì ứng dụng chạy nền có thể biết. Chi tiết mạng phụ thuộc vào quyền và chính sách nền tảng, và một giá trị trả về là không khả dụng không phải là giá trị bạn được coi là tin cậy. Khi hệ tự động của bạn không thể phân loại mạng hiện tại, nhánh an toàn là kết nối chứ không phải giả định.
Tách điều kiện kích hoạt khỏi việc thực thi
Giờ đến phần mà màn hình cài đặt che giấu. Quy tắc mạng tin cậy là một điều kiện kích hoạt: nó quyết định khi nào ứng dụng nên bắt đầu. Nó không phải ranh giới thực thi, vì một tác vụ kích hoạt theo sự kiện có thể chạy sau khi ứng dụng khác đã gửi yêu cầu, và vì việc mở ứng dụng VPN không giống việc kết nối một hồ sơ. Chạm vào biểu tượng có thể để bạn ở màn hình đăng nhập mà không có đường hầm phía sau.
Nếu lưu lượng được bảo vệ không bao giờ được ra ngoài đường hầm, kể cả trong lúc phân loại và thiết lập, thì bảo đảm đó đến từ nền tảng: VPN luôn bật với chặn kết nối khi không có VPN, hoặc chính sách thiết bị được quản lý tương đương. Hãy thêm danh sách tin cậy sau đó, như một tối ưu hóa trên một ranh giới vốn đã vững.
Xử lý đăng nhập cổng và yêu cầu thông tin đăng nhập qua quy trình đã được phê duyệt. Đừng để mật khẩu trong một tác vụ tự động đã xuất, và đừng tắt lockdown để con đường thuận lợi chạy mà không có giám sát. Hai lối tắt đó chính là cách một tính năng tiện lợi trở thành mắt xích yếu nhất trong chuỗi.
Kiểm tra những trường hợp phá vỡ giả định
Đi qua năm trường hợp này trước khi tin vào thiết lập: mạng tin cậy đã được phê duyệt của bạn, một địa điểm WPA lạ, một mạng mở hoặc Enhanced Open, một mạng mà ứng dụng không đọc được tên, và một cổng captive. Với mỗi trường hợp, ghi lại đường hầm có lên không, mất bao lâu, và điều gì đã rời khỏi thiết bị trong khi nó còn đang lên.
Sau đó kiểm tra việc chuyển tiếp. Khi Wi-Fi rớt và dữ liệu di động tiếp quản, quy tắc bạn viết có còn mô tả điều bạn muốn không? Wi-Fi only có thể cố ý để lưu lượng di động ngoài VPN, nhưng nó cũng có thể là một nhánh mà không ai nghĩ tới. Hãy làm rõ lựa chọn đó trong hồ sơ thay vì phát hiện nó trên tàu.
Ghi lại danh sách tin cậy, hành vi trên mạng không quen, điều gì được liên lạc trước khi đường hầm lên, và ai sở hữu các ngoại lệ cho tài nguyên công việc. Một biểu tượng Wi-Fi trông an toàn và một ứng dụng VPN đã mở không trả lời bất kỳ câu nào trong số đó; danh sách và quy tắc thực thi thì có.