VPN per aplicació a Android i mode incògnit de Chrome: què cobreix la regla

Algú ha construït una automatització que engega la VPN quan apareix una pestanya incògnita, i no funciona de manera fiable. La raó és estructural i val la pena entendre-la abans d'ajustar l'automatització: les regles de VPN per aplicació d'Android trien paquets d'aplicació, mentre que l'incògnit és un estat dins d'un sol paquet. La regla no pot distingir els dos casos. L'avís també arriba després que el navegador hagi començat a treballar, així que fins i tot un disparador correcte arriba tard. Recorreu les cinc comprovacions en ordre; un fracàs a la quarta vol dir que cal canviar l'enfocament, no la configuració.

Primera comprovació: què pot triar la regla

Una aplicació de VPN construeix el túnel amb llistes d'aplicacions permeses o bloquejades, i aquestes llistes accepten noms de paquet. Chrome en mode normal i Chrome en mode incògnit són el mateix paquet, amb el mateix identificador d'usuari i el mateix permís de xarxa, així que una regla que inclou o exclou Chrome s'aplica igual als dos. La plataforma no té cap identitat per pestanya amb què comparar.

Això no és un defecte a esquivar; és la granularitat que ofereix l'API. Si necessiteu el trànsit de Chrome dins del túnel i tota la resta fora, una regla per aplicació ho expressa exactament. Si necessiteu només pestanyes privades dins del túnel mentre les normals van directes, cap regla per aplicació ho pot expressar, i cap lògica d'avis afegeix un selector que la plataforma no té.

Vigileu el parany de la identitat del paquet: una beta o una compilació de fabricant és un paquet diferent del navegador estable, així que una regla que cobreix un falla silenciosament l'altre:

adb shell pm list packages | grep -i chrome

Segona comprovació: pot arribar mai prou aviat el disparador

Un observador d'avisos veu els avisos que té permès de veure. Observar no és interceptar: quan l'avís existeix, el navegador ja ha resolt el nom i ha obert la connexió, i res en aquest camí espera la vostra automatització. Una tasca que després engega el client de VPN ha d'esperar la interfície del client, qualsevol pregunta de consentiment i l'encaixada de mans del túnel, que es mesura en segons mentre la primera petició es mesura en mil·lisegons.

La detecció és fràgil per un segon motiu. El text de l'avís canvia entre versions i llengües, així que un patró que coincidia amb una versió deixa de coincidir després d'una actualització, i el fracàs és silenciós. Un avís absent no demostra que no hi hagi navegació privada; pot significar només que la cadena ha canviat o que el canal s'ha silenciat.

Hi ha una versió legítima d'aquest flux de treball, i és ordenada en lloc de reactiva: connecteu primer la VPN aprovada, confirmeu un senyal de disponibilitat que provingui de debò que el túnel porta trànsit, després obriu la sessió incògnita amb els controls compatibles del navegador i atureu-vos si la comprovació de disponibilitat falla. Això protegeix la sessió que esteu a punt de començar sense fingir que protegiu una que ja funciona.

Tercera comprovació: auditeu el permís que esteu a punt de concedir

L'accés als avisos és un permís sensible que permet a un servei llegir els avisos de totes les aplicacions, no només del navegador. Donar-lo a una eina d'automatització desconeguda per vigilar un estat del navegador és un mal intercanvi, i l'accés continua després de l'experiment. Els tocs per accessibilitat són pitjor: són una capa d'scripts sobre la interfície, no un control de VPN compatible, i qualsevol canvi de disseny els trenca.

Abans de concedir res, pregunteu si el mateix resultat és assolible amb un mecanisme compatible. Si la resposta és un requisit de política, normalment ho és: la plataforma pot imposar un túnel per a una aplicació o un perfil sense cap servei d'escolta.

Quarta comprovació: sempre actiu i bloqueig quan calgui imposar

Si el navegador no ha de comunicar-se mai fora del túnel, la imposició pertany a la configuració de la plataforma, no a una macro. Android admet una VPN sempre activa amb un mode de bloqueig que impedeix el trànsit quan el túnel no està establert, i els dispositius gestionats poden rebre'l per política. Confirmeu què té ara el dispositiu en lloc de suposar-ho:

adb shell settings get global always_on_vpn_app
adb shell settings get global always_on_vpn_lockdown

Un valor d'aplicació no nul vol dir que un paquet està configurat com a sempre actiu, i un valor de bloqueig 1 vol dir que les connexions fora del túnel estan bloquejades. La parella converteix un hàbit de màxim esforç en una garantia i elimina la cursa del tot, perquè el túnel s'estableix abans que es permeti el trànsit de les aplicacions.

Hi ha dues fronteres que cal tenir presents. Els perfils de treball porten la seva pròpia configuració de VPN, així que una regla verificada al perfil personal no diu res sobre el de treball. I un navegador instal·lat a part, una pestanya personalitzada oberta per una altra aplicació o una vista web dins d'una aplicació són un paquet o context diferent amb el seu encaminament, així que verifiqueu el paquet real en lloc de suposar que una finestra amb un altre estil és un domini separat.

Cinquena comprovació: escriviu el flux de treball i proveu el camí de fallada

Triéssiu el que triéssiu, documenteu l'ordre i la condició d'aturada. Pel flux de comoditat això vol dir: túnel aixecat, disponibilitat provada, incògnit obert i aturada dura si la disponibilitat falla. Pel camí d'imposició vol dir: aplicació sempre activa configurada, bloqueig activat i el comportament esperat quan el túnel no pot aixecar-se de cap manera, que és cap trànsit en lloc de trànsit desprotegit.

Després proveu la fallada, no només l'èxit. Desconnecteu el túnel durant una sessió i mireu què fa el navegador; bloquegeu el procés de l'aplicació de VPN i confirmeu que no es filtra res. Finalment, manteniu els dos models de privadesa separats a la documentació: l'incògnit controla un estat temporal del navegador i no amaga el trànsit a la xarxa, mentre que la VPN transporta el trànsit però no esborra els inicis de sessió ni res enviat dins de la sessió privada.