Um filtro de rede de casa tem um ponto cego fatal: o aparelho pode sair da rede. Desligue o wifi e o telefone cai nos dados móveis, intocado pelo seu roteador. Conecte-se ao hotspot de um amigo e você está numa rede sem filtro nenhum. Qualquer um desses movimentos leva um toque, e é por isso que o filtro no nível do roteador, por mais útil que seja, nunca pode ser a resposta inteira. A única coisa que segura é um filtro que mora no próprio aparelho e viaja em toda conexão que ele faz, que é exatamente como a TKO’T funciona, de graça: a rede em que o telefone está simplesmente para de importar. Defesa apenas, nomeando a rota só para fechá-la.

Por que a camada de rede não vence sozinha

Um filtro de roteador ou de DNS de casa protege o tráfego que passa por ele, e essa é a frase inteira do problema. No instante em que o telefone troca para os dados móveis ou entra numa rede diferente, nada desse tráfego passa pelo seu roteador, então o filtro não tem em que agir. Isso não é uma fraqueza que você conserta no roteador; é a definição de como as redes funcionam. A lição se repete do mapa das portas laterais: um filtro posicionado na rede perde no momento em que o aparelho sai dela, do mesmo jeito que perde dentro de um túnel de VPN. Então a pergunta nunca é “como faço o roteador cobrir os dados móveis”, porque ele não cobre, mas “como ponho o filtro onde o telefone o carrega junto”.

Como impedir que eu desligue o wifi e use o 3G para burlar a proteção

Você impede esse bypass movendo o filtro para o aparelho, porque aí os dados móveis ficam filtrados também, e o botão do wifi deixa de ter recompensa. Um bloqueador no nível do sistema, instalado no telefone, se aplica a qualquer conexão que o telefone use, wifi de casa, dados móveis, a rede de um café, o hotspot de um amigo, porque ele filtra no aparelho, antes de o tráfego chegar a qualquer rede. Duas camadas fazem o trabalho: o filtro de DNS fixado no aparelho por um perfil de configuração, apontado para um resolvedor de família, para viajar nos dados móveis também, e uma camada de tela no aparelho que julga o conteúdo renderizado não importa por onde ele chegou. Some a resistência a violação e um código na mão de outra pessoa, e você também não consegue desligar o filtro do aparelho no momento fraco que motivou a troca para o 3G. Quando as duas redes batem na mesma parede, o botão do wifi para de ser um bypass.

Meu filho roteia a internet do colega: o que fazer

Quando o filho roteia o hotspot de um colega, o wifi filtrado de casa fica irrelevante, então a proteção precisa estar no aparelho dele, não na sua rede. Duas jogadas ajudam. A primeira é o filtro no aparelho do filho, por um perfil gerenciado, para o bloqueio viajar com o telefone para qualquer rede, inclusive o hotspot do colega. A segunda é que uma política gerenciada pode restringir a quais redes o aparelho se conecta, ou desativar o roteamento e a conexão a hotspots no telefone gerenciado, definida pela conta de controle que um pai guarda. O limite honesto, dito com todas as letras: um adolescente determinado, com um segundo aparelho fora do controle, vence qualquer trava no primeiro, então isto é uma camada de um setup de família mais amplo e uma conversa, não uma jaula selada.

O conserto que viaja: o filtro no aparelho

Junte o raciocínio, porque ele é a resposta estrutural inteira: pare de confiar no roteador e ponha a parede no aparelho. Para um adulto trancando o próprio telefone, o filtro no aparelho fecha o bypass dos dados móveis por completo, porque não sobra rede limpa para onde escapar. Fixe o perfil e trave-o para os ajustes de rede não poderem ser simplesmente revertidos, a mesma disciplina de travar o DNS para não voltar. É a única coisa que cobre os dados móveis: a filtragem aplicada no telefone, antes de o tráfego chegar a qualquer rede, é o que torna a rede em que você está uma informação irrelevante.

O teto honesto, também para você

A mesma honestidade que vale para um filho vale para você: o filtro no aparelho fecha o bypass dos dados móveis no telefone em que ele está, não num segundo aparelho que escapa de todos os controles. Para um adulto trancando o próprio celular, isso fecha a rota por completo, porque você não está tentando se enganar com dois telefones. Mas se existe um aparelho antigo na gaveta, sem filtro, ele é a versão da mesma brecha: uma rede e um aparelho fora da parede. A resposta é a de sempre, ou ele entra na mesma parede com o mesmo filtro no aparelho, ou sai de jogo, entregue ou guardado num lugar inconveniente. A meta não é selar fisicamente todo aparelho do mundo; é que o telefone que está na sua mão no momento fraco bata na mesma parede em toda rede, para a troca de wifi para dados móveis deixar de comprar qualquer coisa.

Perguntas frequentes (FAQ)

Como impedir que eu desligue o wifi e use o 3G para burlar a proteção?

Mova o filtro para o aparelho, para os dados móveis ficarem filtrados também: um bloqueador no nível do sistema com um perfil de DNS fixado e uma camada de tela no aparelho viaja em toda conexão, então desligar o wifi não muda nada. A TKO’T faz isso de graça, e com resistência a violação mais um código na mão de uma pessoa de confiança, você também não consegue desligar o filtro do aparelho no momento que motivou a troca. Quando as duas redes batem na mesma parede, o botão do wifi para de ser um bypass.

Como impedir meu filho de rotear o hotspot de um colega?

O wifi de casa não alcança outra rede, então ponha o bloqueio no telefone dele: o filtro no aparelho, por um perfil gerenciado, viaja para qualquer rede, inclusive o hotspot do colega. Uma política gerenciada também restringe a quais redes o aparelho se conecta e desativa o roteamento, definida pela conta de controle que você guarda. Seja honesto que um segundo aparelho fora do controle vence qualquer trava no primeiro, então junte com uma conversa, não só com a configuração.

Um filtro de roteador funciona nos dados móveis?

Não, e estruturalmente não pode: um roteador só filtra o tráfego que passa por ele, e os dados móveis não passam. No instante em que o telefone sai do wifi, o filtro do roteador fica irrelevante. A única filtragem que cobre os dados móveis é a do aparelho, aplicada no telefone antes de o tráfego chegar a qualquer rede, que é por que o bloqueio no aparelho é essencial para qualquer aparelho que sai de casa.

Dá para bloquear hotspot e roteamento num celular gerenciado?

Dá: num aparelho gerenciado, a conta de controle restringe a quais redes o telefone se conecta e desativa o roteamento ou o uso de hotspot, definida pelo pai ou pessoa de confiança que guarda essa conta. Combine com a filtragem de conteúdo no aparelho, para que mesmo uma rede permitida continue filtrada. Lembre do teto: um aparelho separado e não gerenciado está fora de todos esses controles.

Filtro no aparelho é inútil se a pessoa pode usar outro celular?

Um segundo aparelho não gerenciado é um limite real, e ferramentas honestas admitem isso, mas ele não torna o filtro no aparelho inútil, torna ele necessário e incompleto. Para um adulto trancando o próprio telefone, o filtro no aparelho fecha o bypass dos dados móveis por completo. Para um adolescente determinado, fecha a rota fácil e deixa a difícil, que é justo onde a conversa e o setup mais amplo assumem.