如何阻止笔记本电脑自动连接旧的无线热点

设备在 VPN 启动前就连接了旧热点，随后隧道建立在一条谁都没有选择的网络上。这个先后顺序就是问题的全部。设备连接哪条网络由操作系统决定，而隧道是否先建立由客户端策略决定。两者位于不同的地方，修好一个并不能修好另一个。

在开始点击之前，先确定这两件事里你真正需要改的是哪一件。

连接决定属于哪一层

已保存的网络和自动连接属于操作系统：macOS 的 Wi-Fi 设置、Android 的已保存网络列表、Windows 的已知网络列表。只有当厂商提供明确的集成时，VPN 客户端才能影响这一点，而大多数厂商并不提供。假设隧道控制连接顺序，就会去改动从未参与其中的 VPN 设置。

隧道的工作在链路建立之后才开始。它无权决定那是哪条链路。

正确地清除已保存的网络

删除该条目，而不是把它的优先级调低。在大多数平台上，被遗忘的网络不会自动重新连接，而被降级的网络在没有更好选择时仍会连接。完成前请确认原本要用的家庭或工作连接仍然存在，也不要绕过所有者流程删除受管理的条目。在受管理的设备上，条目可能由策略推送，删除后又会重新出现，这属于支持问题而不是设置问题。

这里的依据是平台自己的文档，而不是为另一个版本写的第三方指南。Apple 关于忘记 Wi-Fi 网络的说明就是 macOS 的简版。

记住的 SSID 不是你所信任的场所

保存下来的名字只是一个字符串。接入点完全可以从别处广播同一个名字，设备就是这样连上了仅仅看起来熟悉的东西。在输入门户凭据之前先检查网络，并把已知 SSID 上意外出现的强制门户页面当作信号而不是骚扰。这一风险与自动连接是分开的，不过忘记网络会同时减轻两者。连锁门店在每个分店都复用同一个 SSID，所以这个名字可能在两座城市是真的，在第三座城市却是恶意的。

名称匹配只是便利，不是身份验证。

单独检查 VPN 的启动

自动连接和隧道外拦截是两种不同的策略，客户端可以有其一而没有其二。设备可能连上网络，先在线一段时间，然后才建立隧道。用不敏感的流量测试，观察启动顺序以及普通网络切换时会发生什么。一个稍后才重连的配置文件，并不能说明它之前那段间隔的情况。

如果那段间隔很重要，你需要的控制是拦截策略，而不是自动连接设置。

强制门户该怎么办

严格拦截按设计就会破坏强制门户，因为门户需要那些本来会被隧道捕获的流量。使用经过批准的引导流程，把它记录下来，不要每次页面加载失败就关掉无关的设置。

该流程是一个有负责人的决定。没有负责人，人们就会自创一套做法，而自创的做法通常会把保护永久关掉。