Иконата за VPN в Android е включена, но защо трафикът не минава през тунела?

Ключът за VPN е в лентата за състояние, браузърът зарежда страница, а адресът, който сайтът показва, все още е домашната ви връзка. Тази комбинация е нормална за Android, защото иконата казва, че приложение притежава виртуален мрежов интерфейс, а не че трафикът ви излиза през отдалечен сървър. Локално приложение за филтриране използва същото средство. Проверете какво всъщност прави услугата, преди да обвинявате доставчика.

Иконата означава, че VPN услуга притежава интерфейса

VPN услугата на Android позволява на приложение да създаде виртуален интерфейс и да получава пакетите, насочени към него. Какво се случва след това зависи изцяло от това приложение: то може да ги препрати към отдалечен сървър, да ги филтрира или да ги изхвърли. Иконата с ключ съобщава, че услуга държи интерфейса, а не накъде отиват пакетите. Затова приложение за филтриране и пълен тунел изглеждат еднакво в лентата за състояние.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Само една VPN услуга може да е активна за потребител или профил в даден момент, което е документирано поведение, а не дефект. Когато второ приложение се опита да се свърже, то или поема, или се проваля, и трафикът на първото спира да се обработва. Ако приложение за филтриране се затваря в момента, в който свържете тунел, тази конкуренция е вероятната причина.

Собствен профил или VPN на приложение: те не са взаимозаменяеми

Профил IKEv2, предоставен от платформата, и приложение, което реализира OpenVPN или WireGuard, са различни продукти с различни менюта. API на платформата за IKEv2 съществува от определена версия на Android и сборките на производителите не всички показват същите опции на същото място. Екранна снимка от друг телефон не е документ за съвместимост.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Съпоставете протокола с клиента, който го поддържа, и получете профила по проверения канал на доставчика, вместо да го поставяте в несвързана форма. Адресът на крайната точка казва къде да се свържете, а не кое приложение може да говори протокола. Отнасяйте се към експортираните профили и QR кодове като към идентификационни данни, защото QR изображението може да съдържа целия ключ. Ако профилът е издаден за друг клиент, издайте го наново, вместо да го преобразувате.

Правилата по приложения и работните профили променят обхвата

Android поддържа VPN конфигурации за отделни приложения, така че браузърът може да е извън тунела, докато пощенското приложение е вътре. Личният и работният профил са отделни контексти със своя активна услуга. Проверката на адреса от грешното приложение е едно от най-честите погрешни заключения в тази област.

Вижте списъците за включване и изключване, след което тествайте с приложението, което наистина ви интересува. Тунелът на работния профил не покрива лични приложения, а личният тунел не покрива работни приложения. Същото разделение обяснява защо корпоративен ресурс работи в един профил и се проваля в друг без видима разлика в конфигурацията. Запишете контекста на профила в заявката, защото той променя дори кои настройки важат.

Спрете, ако приложението, което тествате, не е в обхвата на тунела. Това е избор на политика, а не повреда.

Тествайте какво действително е напуснало телефона

Тествайте публични и частни дестинации, двете семейства адреси и двете мрежи за достъп. След това сравнете резултата със собствения обхват на приложението, защото успешното зареждане на страница в едно приложение не казва нищо за другото. Повторете след преминаване от Wi-Fi към мобилни данни, тъй като повторното свързване може да попадне на друг път.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN и опцията, която блокира връзки без VPN, са свързани, но различни, и строгото блокиране може да счупи влизането през captive portal, докато не следвате документираната процедура. Настройките за Private DNS също могат да взаимодействат с резолвера на профила, затова сляпото заместване на DNS на организация създава нов отказ. Ако тунелът умира при заключване на екрана, прочетете ръководството за разработчици на VPN за фоново изпълнение и оптимизация на батерията, преди да преинсталирате каквото и да е.

Симптомът, който трябва да държите в полезрението, е разликата между иконата и пътя. Ключът означава, че услуга притежава интерфейса; само тест от предвиденото приложение в предвидената мрежа казва къде е отишъл трафикът. Проверете и двете и следващият доклад за счупен VPN ще бъде много по-лесен за локализиране.