Abast del restabliment de VPN a Android: què esborra realment cada capa

Android té quatre operacions separades que la gent anomena restablir la VPN, i esborren coses diferents. Esborrar la memòria cau d'una aplicació elimina fitxers temporals; esborrar-ne l'emmagatzematge elimina el perfil mateix. Un restabliment de xarxa reconstrueix la pila de connectivitat, i un restabliment de fàbrica substitueix la partició de dades de l'usuari. Trieu l'operació segons l'estat que sospiteu, no per costum. Si us equivoqueu, el perfil o la ruta d'alta que necessitàveu ja no hi serà abans que hàgiu diagnosticat res.

Aquesta és la regla que faig servir a cada avís: anomeneu l'estat, anomeneu-ne el propietari i després elimineu només la còpia d'aquell propietari. La resta d'aquesta pàgina tracta de quin component d'Android guarda quins bytes.

On viu realment un perfil VPN d'Android

Un client de tercers en un telèfon no gestionat guarda el perfil dins del seu propi directori de dades de l'aplicació, com a fitxer de preferències, bloc JSON o petita base de dades SQLite. Aquest directori és el que esborra l'opció Esborra l'emmagatzematge dels Paràmetres. El perfil no és a la llista de VPN del sistema: aquella llista guarda el registre de connexió que el client va registrar mitjançant VpnService, que inclou el nom de la connexió, el paquet propietari i qualsevol indicador d'activació permanent que hagi definit l'usuari.

VpnService és fontaneria, no emmagatzematge. El client demana consentiment un cop, crea una interfície tun i mou els paquets ell mateix, així que la plataforma no necessita mai entendre el format del perfil. Per això un fitxer de configuració copiat d'un altre telèfon sovint s'importa com a perfil buit o falla la validació.

Les credencials segueixen un camí diferent. Una clau o un certificat obtingut mitjançant el KeyChain del sistema es queda en un magatzem gestionat pel sistema, de manera que esborrar les dades de l'aplicació pot deixar la credencial utilitzable i eliminar només l'àlies del client cap a ella.

Els dispositius gestionats afegeixen un segon propietari. Un perfil de treball creat per un EMM executa la seva pròpia còpia del client sota la seva pròpia política, i una VPN d'activació permanent es pot fixar per política del dispositiu perquè l'usuari no la pugui desconnectar. En aquests dispositius el perfil normalment es proporciona en el moment de l'alta i no s'escriu a mà. Llavors la recuperació és una decisió de tornar a fer l'alta, no de tornar a importar.

Memòria cau, emmagatzematge, restabliment de xarxa, restabliment de fàbrica

Les quatre operacions corresponen a aquests límits. Llegiu la fila de l'estat que sospiteu abans de tocar res.

Esborrar la memòria cau és el més segur i el menys útil. Elimina fitxers temporals, que és també on un client pot haver deixat el registre que un agent de suport acaba de demanar-vos. La guia de resolució de problemes d'aplicacions d'Android tracta la memòria cau i l'emmagatzematge com dues eliminacions diferents, i vosaltres també hauríeu de fer-ho.

Esborra l'emmagatzematge és el restabliment real per aplicació. Elimina el perfil, la passarel·la desada i els indicadors de confiança que el client guardava per a xarxes concretes. No revoca entrades del KeyChain, no elimina un registre de VPN del sistema propietat d'una altra aplicació i, en un perfil gestionat, no elimina la política que va empènyer el perfil en primer lloc.

El restabliment de xarxa dels Paràmetres és per a tot el dispositiu, i el seu abast exacte canvia segons el fabricant i la versió d'Android. El diàleg de confirmació de la vostra compilació és l'única declaració fiable del que oblidarà.

Primer anoteu el camí de tornada

Abans de qualsevol pas destructiu, anoteu cinc coses: versió del client, nom del perfil, adreça de la passarel·la, propietari del servei i l'etapa exacta en què falla la connexió.

Aquestes cinc dades separen una fallada del client d'una fallada de política o de servidor. Un temps d'espera esgotat, un rebuig de certificat i una negativa immediata són tres fallades diferents, i cadascuna assenyala un propietari diferent. Esborreu primer l'emmagatzematge i perdreu l'evidència del costat del client que les hauria distingit. Guardeu una còpia saneada del registre mentre encara existeixi.

Després confirmeu com es recrearia la connexió. Un nom visible i un nom d'amfitrió no són prou quan el perfil depenia d'un certificat de client, d'una configuració gestionada o d'una alta d'MFA lligada a aquest dispositiu.

El bloqueig d'arrencada que ningú no planifica

Un mode de fallada mereix la seva pròpia secció. Si l'únic lloc per descarregar el perfil és un portal intern al qual s'arriba pel túnel que esteu a punt d'eliminar, esborrar l'emmagatzematge crea un carreró sense sortida dins de l'aplicació.

Una VPN d'activació permanent amb l'opció de bloquejar connexions sense VPN ho converteix en una caiguda total: el telèfon no té cap camí operatiu cap al portal i el client no té cap perfil per aixecar el túnel. Els dos estats es mantenen l'un a l'altre.

La sortida és procedimental, no tècnica. Exporteu o fotografieu la configuració mentre el túnel encara funciona, confirmeu que el portal té una ruta que no depèn de la VPN i només llavors esborreu res. En un dispositiu gestionat, pregunteu a l'administrador quin camí de recuperació existeix abans de tocar el perfil.

Verifiqueu el túnel reconstruït

Un cop torni el perfil, proveu per ordre: resolució de noms, una connexió TCP a un amfitrió intern conegut i el comportament de bloqueig en cas de fallada en què realment confieu. L'ordre importa perquè un túnel pot aixecar-se i tot i així filtrar DNS.

Una icona de clau a la barra d'estat demostra que la interfície existeix, i res més.

Si la connexió encara falla després d'un restabliment dirigit, deixeu d'escalar la mida de l'operació. Guardeu l'evidència d'abans i després, anoteu quina capa heu esborrat i passeu el cas al propietari del component amb aquelles cinc dades. Un restabliment de fàbrica és una decisió separada amb un cost molt més alt, i no és el pas següent d'una llista de verificació de VPN.