Er is vast wel een data-monitoring-app die per app privileges kan toekennen (bijv. met de opties block / allow / query).

Ik kan mij de vraag goed voorstellen. Gezien de risico's / noodzaak zou je zoiets tegenwoordig als standaard onderdeel van ieder OS (dat met een open wifi verbinding maakt) moeten hebben.

Bij het kiezen van een SSID in Android kun je advanced settings aanvinken. Dan verschijnt de optie om direct na verbinden een VPN-server te koppelen... Daarvoor hoeft je telefoon niet geroot te zijn.

Bedankt "security-nl_user". Ik heb even gekeken maar op mijn GSM is deze optie helaas niet aanwezig.
Ik heb een Acer S500 - Android-versie 4.1.2 - Kernel 3.4.0+. Wellicht komt het door de Acer schil.

@ "Vandy" ik heb al heel wat apps bekeken en geprobeerd, zelf betaalde. Maar nog geen enkele voldoet aan mijn wensen. En zoals gezegd, dit zou standaard aanwezig moeten zijn. Zo heeft het mijn voorkeur dat als ik thuis op (of een vertrouwd) wifi zit er geen VPN verplicht is. Maar als ik dat met de hand uit of aan moet zetten kan ik er nog mee leven.

Je mail, facebook, telebankieren gebeurt allemaal met SSL...Er zijn niet veel programma's die automatisch, direct, het Internet opgaan op het moment dat je wifi krijgt, maar je kunt op z'n minst het automatisch pollen van je mail app uitzetten als je op vakantie bent.

Daarna maak je verbinding, VPN aan, en dan pas je mail client starten en handmatig de mail laden.

Volgens mij jun je op je telefoon natuurlijk ook "synchronisatie" uit zetten. Dan zullen de apps niet automatisch gelijk verbinding maken en kun je rustig eerst je vpn op zetten.

Als je een eigen hotspot opzet en daar wireshark op aanzet, dan je telefoon verbindt met deze hotspot, zie ik een heleboel verkeer. Ik heb dan alleen mijn telefoon verbonden, verder heb ik nog niets gedaan. En ik heb het niet over verkeer wat handmatig wordt gegenereerd, zoals bijv. facebook, buienradar, ns, nu.nl. Maar de anti-virus update, google play, agenda sync, backup sync, skype, google talk, Acer verbindingen. Dit allemaal zou ik dus graag gerouteerd willen hebben over de VPN verbinding. In de tijd tussen het contact met de (openbare) hotspot en het opzetten van de VPN dient het geblokkeerd te worden of gerouteerd naar een nog niet bestaanbare route. Ook als de VPN wegvalt moet het verkeer gestopt worden. Kortom het resultaat is dat het alleen door de VPN tunnel mag gaan en niet (zichtbaar) over de openbare hotspot gaat. Ook als het SSL verkeer betreft.

Blijkbaar is dit lastig zonder een rooted telefoon

Als je in de VPN settings bent op je android en je drukt daar op de menuknop, komt er dan de optie 'Always on VPN' ?
deze moet je aanvinken zodat je vpn meteen word opgebouwd bij het maken van een netwerk verbinding.

Ik weet niet zeker of deze optie ook voor niet geroote devices is...

Freedome is een zeer betaalbare oplossing van F-secure welke 'altijd' via een vpn werkt.

Misschien kan je gewoon Mullvad openvpn proberen,het kost wel wat geld per jaar,maar je bent altijd getunneld.
Op mijn netwerk heb ik dat ook,je kan er maximaal 3 apparaten op gebruiken per licentie.
Zo heb ik mijn Draadloze netwerk,en bedraad met Mullvad in gebruik.
Daarnaast maak ik ook nog op mijn Samsung Galaxy S4 via Wifi gebruik van Mullvad.
Daarbij heb ik openvn voor android zo ingesteld,je kan openvpn downloaden voor android.
Erg handig.
Allen wil je sommige dingen op het internet waar rechten op zitten,zoals bepaalde films of audio,dan moet je even wel de tunnel uitzetten,zodat je een Nederlands Ip hebt.
Voor spotify hoeft dat niet,maar pas wel op,zorg wel dat als je spotify download je ook even een Nl ip addres hebt.
Anders kan je problemen hebben met de interne browser van Spotify.
Daar ben ik dus achter gekomen,later als je spotify gebruikt en goed geinstalleerd,hebt dan kan je wel gerust weer achter een tunnel luisteren.
Ik weet niet of dat in zijn algeheel geldt voor spotify,of dat dat euvel alleen afhankelijk kan zijn van welk OS je gebruikt op de computer.
In mijn geval gebruik ik Mac OSX 10.9.4 op zowel mijn Macbook pro laat 2013,als Imac laat 2012.
Misschien dat daar alleen Spotify dit probleem gaf.

Allen bedankt voor de ideeën, maar ik heb nog steeds geen oplossing. Ik zoek geen VPN aanbieder (freedom, mullvad). Ik heb al een VPN verbinding ter beschikking. Ik zoek een tool / app / middel om er voor te zorgen dat het verkeer tijdens een wifi (openbare hotspot) connectie alleen maar door de VPN verbinding loopt en niet daar buiten. Geen VPN maar wel wifi zou het verkeer gestopt moeten worden. Zover ik alles heb gelezen en vernomen kan dit alleen met een geroote telefoon, dat blijft jammer.

Ik weet dat Cisco Anyconnect hier wel een en ander mee kan - met de juiste licenties en dus budget...

Zie Captive Portal Hotspot Detection and Remediation
http://www.cisco.com/c/en/us/td/docs/security/vpn_client/anyconnect/anyconnect31/administration/guide/anyconnectadmin31/ac03vpn.html#pgfId-1262661

In Android kun je onder Accounts & Synchroniseren met 1 knop uitschakelen dat de accounts-apps automatisch op de achtergrond (zonder te zijn gestart) gaan synchroniseren. Daarmee voorkom je in elk geval dat apps met persoonlijke gegevens meteen beginnen te synchroniseren, zoals mail, Whatsapp, Facebook en Dropbox.
Android zelf en andere apps houd je hier niet mee tegen, maar daarin staan als het goed is minder persoonlijke gegevens.

Met de app VPNcilla kan je instellen dat de vpn al moet starten bij het opstarten van je telefoon. Zal bij switchen van verbindingen dan ook de VPN meteen weer opzetten.

Gebruik hier PIA VPN op de phone via hun app.
Altijd wifi en 4G via de VPN, en een internet killswitch mocht de VPN niet connecten..