La notificació de VPN d’Android mostra una adreça privada: què significa

Baixeu el tauler de notificacions, toqueu la notificació persistent de VPN i veureu una cosa com 10.13.0.42/30 al costat d’un estat connectat. Aquest número és l’adreça que l’aplicació ha assignat a la seva pròpia interfície virtual al telèfon, així que descriu un objecte de xarxa local, no el servidor al qual heu arribat ni l’adreça que registrarà un lloc web. No hi ha res secret en ella, i res no demostra que el vostre trànsit estigui cobert. L’ordre que segueix és el que faig servir per esbrinar què diu realment una notificació, començant pel telèfon a la mà i acabant amb una comprovació real de l’adreça.

Comenceu per la notificació, no per un quadre de cerca

Un client modern d’Android sol mostrar dues coses diferents al mateix panell: un estat de connexió i un bloc d’adreça. L’estat diu que el túnel està aixecat. El bloc d’adreça diu què ha configurat l’aplicació al costat del telèfon d’aquest túnel, i els clients l’imprimeixen perquè és la prova més fàcil que tenen que la interfície existeix.

Manteniu premuda la notificació i obriu la pàgina d’informació de l’aplicació abans de fer res més. Anoteu el nom del paquet i fixeu-vos si l’aplicació és al vostre perfil personal o en un perfil de feina. Dos clients de VPN amb icones semblants poden viure en un mateix dispositiu, i el tauler no sempre nomena el que suposeu. Si la icona no us és familiar, aquesta és la troballa, i l’adreça és una distracció.

Existeixen tres adreces alhora

El telèfon té una adreça Wi-Fi o mòbil, l’aplicació té una adreça a la seva interfície de túnel i algun gateway remot té l’adreça d’origen pública que veu el món exterior. Són tres assignacions separades, i cap no es pot deduir de les altres dues.

L’adreça del túnel a la notificació és gairebé sempre privada. 10.13.0.42 es troba dins de 10.0.0.0/8, un dels rangs reservats per RFC 1918, així que qualsevol proveïdor pot repartir el mateix número. Veure-la us diu que l’aplicació ha fet servir un pool privat, no on s’allotja aquest pool. Dos telèfons en continents diferents poden informar del mateix valor.

Aquesta reutilització és la raó per la qual l’adreça no pot servir com a empremta. Un segon proveïdor pot fer servir el mateix bloc, perquè res no coordina els pools entre empreses. Els proveïdors els trien per costum i pel que la seva configuració de gateway ja espera.

Llegiu /30 com a prefix, no com a recompte

El número després de la barra és la longitud del prefix. Aquí /30 significa trenta bits de prefix de xarxa, cosa que deixa dos bits per als hostes, així que el bloc cobreix 10.13.0.40 fins a 10.13.0.43. No són trenta dispositius ni un servidor a trenta salts de distància.

Els prefixos petits com aquest són habituals en enllaços de túnel punt a punt: una adreça utilitzable per al telèfon i una per a l’extrem remot. Que l’aplicació mantingui realment aquest esquema és una propietat de la seva configuració. Tracteu el prefix com una pista sobre com s’ha dissenyat l’aplicació, no com un mapa de la xarxa del proveïdor.

Confirmeu el túnel des del telèfon

Configuració, després Xarxa i internet, després VPN llista el perfil actiu i l’aplicació que el posseeix. Aquesta pantalla és l’autoritat sobre quin client està connectat. La notificació només n’és un resum. Quan les dues discrepen, fieu-vos de la pantalla de configuració i tracteu la notificació com a obsoleta.

Si construïu una integració de diagnòstic autoritzada, l’objecte Network seleccionat exposa les adreces d’enllaç i un nom d’interfície mitjançant LinkProperties. Anoteu el perfil i la xarxa on heu mostrejat, perquè una instantània presa a la xarxa equivocada respon una pregunta que ningú no ha fet.

L’accés per shell és menys fiable del que la gent espera. Els noms d’interfície varien segons la versió i el fabricant. Un filtre que només coincideix amb una línia IPv4 que conté tun ometrà silenciosament les assignacions IPv6 i qualsevol client que anomeni la seva interfície d’una altra manera. Llegiu la llista completa abans d’estrenyir-la.

Mireu què veu un lloc web des de l’aplicació que us importa

Carregueu un verificador d’adreces públic al navegador i repetiu la comprovació dins de l’aplicació que realment voleu protegir. Si tots dos informen de la mateixa adreça d’origen, el túnel transporta les dues. Si difereixen, hi ha en joc un encaminament per aplicació o un túnel dividit.

Dues configuracions produeixen una notificació saludable sense cap sortida remota. Una aplicació de filtratge local pot crear una interfície de túnel per inspeccionar el DNS o bloquejar anuncis sense cap servidor. Una VPN només privada es pot construir per arribar a una xarxa domèstica mentre la navegació normal continua sent directa. En tots dos casos l’adreça del tauler és real i la cobertura que suposeu no ho és.

Decidiu si la notificació mereix una segona mirada

Una notificació de VPN inesperada val la pena investigar-la com a aplicació instal·lada, no com a adreça. Reviseu el propietari del perfil, els permisos d’administrador del dispositiu i tot el que s’hi hagi afegit des de l’última revisió d’aquesta llista. Revogueu el que no pugueu explicar i torneu a mirar el tauler. Si la notificació torna amb un perfil que reconeixeu, ja teniu la resposta. Si torna sense cap, una altra cosa està iniciant l’aplicació.

Després tanqueu el cercle: aplicació propietària, perfil actiu, adreça d’origen de l’aplicació que us importa i ruta esperada. Si les quatre coincideixen, el número de la notificació és només comptabilitat i res més.