Значок VPN у Android уключаны, дык чаму трафік не ідзе праз тунель?

Ключ VPN у радку стану, браўзер загружае старонку, а адрас, які паведамляе сайт, — усё яшчэ ваша хатняе злучэнне. Такая камбінацыя нармальная для Android, бо значок кажа, што праграма валодае віртуальным сеткавым інтэрфейсам, а не што ваш трафік выходзіць праз аддалены сервер. Лякальная праграма фільтравання выкарыстоўвае тую ж магчымасць. Праверце, што насамрэч робіць служба, перш чым вінаваціць пастаўшчыка.

Значок азначае, што служба VPN валодае інтэрфейсам

Служба VPN у Android дазваляе праграме стварыць віртуальны інтэрфейс і атрымліваць пакеты, накіраваныя ў яго. Што адбудзецца далей, цалкам залежыць ад гэтай праграмы: яна можа перадаць іх аддаленаму серверу, адфільтраваць або скінуць. Значок ключа паведамляе, што служба трымае інтэрфейс, а не куды ідуць пакеты. Таму праграма фільтравання і поўны тунель выглядаюць у радку стану аднолькава.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Адначасова можа быць актыўнай толькі адна служба VPN на карыстальніка або профіль — гэта дакументаваныя паводзіны, а не памылка. Калі другая праграма спрабуе падключыцца, яна або перахоплівае кіраванне, або церпіць няўдачу, і трафік першай перастае апрацоўвацца. Калі праграма фільтравання выходзіць у момант падключэння тунелю, гэтая канкурэнцыя — верагодная прычына.

Уласны профіль або VPN праграмы: яны не ўзаемазаменныя

Профіль IKEv2, прадастаўлены платформай, і праграма, якая рэалізуе OpenVPN або WireGuard, — розныя прадукты з рознымі меню. API платформы для IKEv2 існуе з пэўнай версіі Android, і зборкі вытворцаў не ўсе прапануюць адныя і тыя ж параметры ў адным месцы. Здымак экрана з іншага тэлефона — не дакумент сумяшчальнасці.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Супастаўце пратакол з кліентам, які яго падтрымлівае, і атрымайце профіль праз правераны канал пастаўшчыка, а не ўстаўляйце яго ў староннюю форму. Адрас канцавой кропкі кажа, куды падключацца, а не якая праграма ўмее гаварыць па гэтым пратаколе. Разглядайце экспартаваныя профілі і QR-коды як уліковыя дадзеныя, бо выява QR можа змяшчаць поўны ключ. Калі профіль выдадзены для іншага кліента, перавыдайце яго, а не пераўтварайце.

Правілы па праграмах і працоўныя профілі змяняюць ахоп

Android падтрымлівае канфігурацыі VPN для асобных праграм, таму браўзер можа быць па-за тунелем, а паштовая праграма — унутры. Асабісты і працоўны профілі — асобныя кантэксты са сваёй актыўнай службай. Праверка адрасу з няправільнай праграмы — адна з самых распаўсюджаных хібных высноў у гэтай галіне.

Паглядзіце на спісы ўключэння і выключэння, затым праверце з праграмай, якая вам сапраўды важная. Тунель працоўнага профілю не пакрывае асабістыя праграмы, а асабісты тунель не пакрывае працоўныя. Тоа ж раздзяленне тлумачыць, чаму карпаратыўны рэсурс працуе ў адным профілі і не працуе ў іншым без бачнай розніцы ў канфігурацыі. Запішыце кантэкст профілю ў заяўку, бо ён змяняе нават тое, якія налады прымяняюцца.

Спыніцеся, калі праграма, якую вы тэстуеце, не ўваходзіць у ахоп тунеля. Гэта палітычны выбар, а не няспраўнасць.

Праверце, што насамрэч пакінула тэлефон

Праверце публічныя і прыватныя прызначэнні, абодва сямействы адрасоў і абодва сеткі доступу. Затым параўнайце вынік з уласным ахопам праграмы, бо паспяховая загрузка старонкі ў адной праграме нічога не кажа пра другую. Паўтарыце пасля пераключэння з Wi-Fi на мабільныя дадзеныя, бо перападключэнне можа трапіць на іншы шлях.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN і опцыя блакавання злучэнняў без VPN звязаныя, але розныя, і строгае блакаванне можа зламаць уваход праз captive portal, пакуль вы не выканаеце дакументаваную працэдуру. Налады Private DNS таксама могуць узаемадзейнічаць з рэзалверам профілю, таму сляпое замяшчэнне DNS арганізацыі стварае новую паломку. Калі тунель памірае пры блакаванні экрана, прачытайце кіраўніцтва для распрацоўшчыкаў VPN пра фонавае выкананне і аптымізацыю батарэі, перш чым нешта пераўсталёўваць.

Сімптом, які трэба трымаць у полі зроку, — гэта разрыў паміж значком і шляхам. Ключ азначае, што служба валодае інтэрфейсам; толькі тэст з патрэбнай праграмы ў патрэбнай сетцы скажа, куды пайшоў трафік. Праверце абодва, і наступную справаздачу пра зламаны VPN будзе значна лягчэй размясціць.