Android-VPN-ikoon is aan: hoekom word verkeer dan nie deur die tonnel gestuur nie?

Jou VPN-sleutel staan in die statusbalk, die blaaier laai 'n bladsy, en die adres wat 'n webwerf rapporteer is steeds jou tuisverbinding. Daardie kombinasie is normaal op Android, want die ikoon sê dat 'n app 'n virtuele netwerkkoppelvlak besit, nie dat jou verkeer deur 'n afstandbediener vertrek nie. 'n Plaaslike filterapp gebruik dieselfde fasiliteit. Kontroleer wat die diens werklik doen voordat jy die verskaffer blameer.

Die ikoon beteken 'n VPN-diens besit die koppelvlak

Android se VPN-diens laat 'n toepassing 'n virtuele koppelvlak skep en die pakkette ontvang wat daarin gestuur word. Wat daarna gebeur, is heeltemal aan daardie toepassing oorgelaat: dit kan hulle na 'n afstandbediener aanstuur, filtreer of laat val. Die sleutelikoon rapporteer dat 'n diens die koppelvlak hou, nie waar die pakkette heen gaan nie. Daarom lyk 'n filterapp en 'n volle tonnel identies in die statusbalk.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Slegs een VPN-diens kan op 'n slag per gebruiker of profiel aktief wees, wat gedokumenteerde gedrag is, nie 'n fout nie. Wanneer 'n tweede app probeer koppel, neem dit oor of misluk dit, en die eerste een se verkeer word nie meer hanteer nie. As 'n filterapp ophou sodra jy 'n tonnel koppel, is daardie kompetisie waarskynlik die rede.

Inheemse profiel of app-VPN: hulle is nie uitruilbaar nie

'n IKEv2-profiel wat deur die platform voorsien word en 'n app wat OpenVPN of WireGuard implementeer, is verskillende produkte met verskillende kieslyste. Die platform-API vir IKEv2 bestaan vanaf 'n spesifieke Android-weergawe, en vervaardigers se boue stel nie almal dieselfde opsies op dieselfde plek beskikbaar nie. 'n Skermkopie van 'n ander foon is nie 'n versoenbaarheidsdokument nie.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Pas die protokol by die kliënt wat dit ondersteun, en kry die profiel via die verskaffer se geverifieerde kanaal eerder as om dit in 'n onverwante vorm te plak. 'n Eindpuntadres sê waar om te koppel, nie watter app die protokol kan praat nie. Behandel uitgevoerde profiele en QR-kodes as geloofsbriewe, want 'n QR-beeld kan die volledige sleutel bevat. As die profiel vir 'n ander kliënt uitgereik is, heruitreik dit eerder as om dit om te skakel.

Reëls per app en werkprofiele verander die omvang

Android ondersteun VPN-konfigurasies per app, so 'n blaaier kan buite die tonnel wees terwyl 'n e-posapp binne is. Persoonlike en werkprofiele is aparte kontekste met hul eie aktiewe diens. Om die adres vanuit die verkeerde app te kontroleer, is een van die mees algemene valse gevolgtrekkings op hierdie gebied.

Kyk na die insluit- en uitsluitlyste, en toets dan met die toepassing waaraan jy werklik aandag gee. 'n Werkprofiel-tonnel dek nie persoonlike apps nie, en 'n persoonlike tonnel dek nie werkapps nie. Dieselfde skeiding verduidelik hoekom 'n korporatiewe hulpbron in een profiel werk en in 'n ander misluk sonder enige sigbare konfigurasieverskil. Teken die profielkonteks in die kaartjie aan, want dit verander selfs watter instellings van toepassing is.

Stop as die app wat jy toets nie binne die tonnel se omvang is nie. Dit is 'n beleidskeuse, nie 'n fout nie.

Toets wat werklik die foon verlaat het

Toets openbare en private bestemmings, beide adresfamilies en beide toegangsnetwerke. Vergelyk dan die resultaat met die app se eie omvang, want 'n suksesvolle bladsylading in een app sê niks oor die ander nie. Herhaal dit ná 'n oorskakeling van Wi-Fi na mobiele data, want 'n herverbinding kan op 'n ander pad beland.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN en die opsie wat verbindings sonder 'n VPN blokkeer, is verwant maar onderskeibaar, en 'n streng blokkade kan captive-portal-aanmelding breek totdat jy die gedokumenteerde prosedure volg. Private DNS-instellings kan ook met die profiel se resolver inwerk, so om 'n organisasie se DNS blindelings te vervang, skep 'n nuwe fout. As die tonnel doodgaan wanneer die skerm sluit, lees die VPN-ontwikkelaarsriglyne oor agtergrondverwerking en battery-optimalisering voordat jy enigiets herinstalleer.

Die simptoom om in die oog te hou, is die gaping tussen die ikoon en die pad. Die sleutel beteken 'n diens besit die koppelvlak; net 'n toets vanuit die bedoelde app op die bedoelde netwerk sê waar die verkeer heen gegaan het. Kontroleer albei, en die volgende verslag van 'n stukkende VPN is baie makliker om te plaas.