La icona de VPN d'Android està activa, però per què el trànsit no passa pel túnel?

La clau de VPN és a la barra d'estat, el navegador carrega una pàgina i l'adreça que informa un lloc web encara és la teva connexió de casa. Aquesta combinació és normal a Android, perquè la icona diu que una aplicació posseeix una interfície de xarxa virtual, no que el trànsit surti per un servidor remot. Una aplicació local de filtratge utilitza el mateix mecanisme. Comprova què fa realment el servei abans de culpar el proveïdor.

La icona significa que un servei de VPN posseeix la interfície

El servei de VPN d'Android permet que una aplicació creï una interfície virtual i rebi els paquets que s'hi encaminen. El que passi després depèn totalment d'aquesta aplicació: pot reenviar-los a un servidor remot, filtrar-los o descartar-los. La icona del clau informa que un servei té la interfície, no on van els paquets. Per això una aplicació de filtratge i un túnel complet es veuen igual a la barra d'estat.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Només un servei de VPN pot estar actiu alhora per usuari o perfil, cosa que és un comportament documentat i no un error. Quan una segona aplicació intenta connectar-se, o bé pren el control o bé falla, i el trànsit de la primera deixa de gestionar-se. Si una aplicació de filtratge es tanca quan connectes un túnel, aquesta competència n'és el motiu probable.

Perfil natiu o VPN d'aplicació: no són intercanviables

Un perfil IKEv2 proporcionat per la plataforma i una aplicació que implementa OpenVPN o WireGuard són productes diferents amb menús diferents. L'API de la plataforma per a IKEv2 existeix des d'una versió concreta d'Android, i les compilacions dels fabricants no exposen totes les mateixes opcions al mateix lloc. Una captura de pantalla d'un altre telèfon no és un document de compatibilitat.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Aparella el protocol amb el client que el suporta i obtén el perfil pel canal verificat del proveïdor, en lloc d'enganxar-lo en un formulari sense relació. Una adreça de punt final diu on connectar-se, no quina aplicació pot parlar el protocol. Tracta els perfils exportats i els codis QR com a credencials, perquè una imatge QR pot contenir la clau completa. Si el perfil es va emetre per a un altre client, torna a emetre'l en lloc de convertir-lo.

Les regles per aplicació i els perfils de treball canvien l'abast

Android admet configuracions de VPN per aplicació, així que un navegador pot ser fora del túnel mentre una aplicació de correu hi és dins. Els perfils personal i de treball són contextos separats amb el seu propi servei actiu. Comprovar l'adreça des de l'aplicació equivocada és una de les conclusions falses més habituals en aquest àmbit.

Mira les llistes d'inclusió i d'exclusió i després prova amb l'aplicació que realment t'importa. El túnel del perfil de treball no cobreix les aplicacions personals, i el túnel personal no cobreix les aplicacions de treball. La mateixa separació explica per què un recurs corporatiu funciona en un perfil i falla en un altre sense cap diferència visible de configuració. Anota el context del perfil al tiquet, perquè canvia fins i tot quins paràmetres s'apliquen.

Atura't si l'aplicació que proves no és dins de l'abast del túnel. És una decisió de política, no una avaria.

Prova què va sortir realment del telèfon

Prova destinacions públiques i privades, les dues famílies d'adreces i les dues xarxes d'accés. Després compara el resultat amb l'abast propi de l'aplicació, perquè una pàgina carregada amb èxit en una aplicació no diu res de l'altra. Repeteix-ho després de canviar de Wi-Fi a dades mòbils, ja que una reconnexió pot caure en un camí diferent.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN i l'opció que bloqueja les connexions sense VPN estan relacionats però són diferents, i un bloqueig estricte pot trencar l'inici de sessió del portal captiu fins que segueixis el procediment documentat. La configuració de Private DNS també pot interactuar amb el resolutor del perfil, així que substituir el DNS d'una organització a cegues crea una fallada nova. Si el túnel mor quan es bloqueja la pantalla, llegeix la guia per a desenvolupadors de VPN sobre execució en segon pla i optimització de bateria abans de reinstal·lar res.

El símptoma que cal retenir és el buit entre la icona i el camí. El clau significa que un servei posseeix la interfície; només una prova des de l'aplicació prevista a la xarxa prevista diu on ha anat el trànsit. Comprova les dues coses i el proper informe d'una VPN espatllada serà molt més fàcil d'ubicar.