Oznámení VPN v Androidu ukazuje privátní adresu: co to znamená

Stáhnete oznamovací panel, klepnete na trvalé oznámení VPN a ono u stavu připojení ukáže něco jako 10.13.0.42/30. To číslo je adresa, kterou aplikace přidělila svému vlastnímu virtuálnímu rozhraní v telefonu, takže popisuje jeden místní síťový objekt, nikoli server, ke kterému jste se dostali, ani adresu, kterou si zapíše nějaký web. Nic na něm není tajné a nic z něj nedokazuje, že váš provoz je krytý. Postup níže je pořadí, které používám, abych zjistil, co oznámení vlastně říká – od telefonu v ruce až po skutečnou kontrolu adresy.

Začněte oznámením, ne vyhledávacím polem

Moderní klient pro Android obvykle ukazuje v jednom panelu dvě různé věci: stav připojení a blok adresy. Stav říká, že tunel je nahoře. Blok adresy říká, co aplikace nastavila na straně telefonu v tomto tunelu, a klienti to vypisují, protože je to nejjednodušší důkaz, že rozhraní existuje.

Dlouze podržte oznámení a otevřete stránku s informacemi o aplikaci, než uděláte cokoli dalšího. Poznamenejte si název balíčku a všimněte si, zda aplikace sídlí ve vašem osobním, nebo pracovním profilu. Dva klienti VPN s podobnými ikonami mohou žít v jednom zařízení a panel ne vždy pojmenuje toho, kterého předpokládáte. Pokud je ikona neznámá, to je ten nález a adresa je rozptýlení.

Současně existují tři adresy

Váš telefon má adresu Wi-Fi nebo mobilní sítě, aplikace má adresu na svém tunelovém rozhraní a nějaká vzdálená brána má veřejnou zdrojovou adresu, kterou vidí vnější svět. Jsou to tři oddělená přidělení a žádné z nich nelze odvodit z těch dvou ostatních.

Tunelová adresa v oznámení je téměř vždy privátní. 10.13.0.42 leží uvnitř 10.0.0.0/8, jednoho z rozsahů vyhrazených RFC 1918, takže každý poskytovatel může vydávat stejné číslo. Když ji uvidíte, zjistíte, že aplikace použila privátní fond, ne kde je tento fond hostovaný. Dva telefony na různých kontinentech mohou hlásit shodnou hodnotu.

Právě kvůli tomuto opakovanému použití nemůže adresa sloužit jako otisk. Druhý poskytovatel může použít stejný blok, protože fondy mezi firmami nic nekoordinuje. Poskytovatelé je volí ze zvyku a podle toho, co jejich konfigurace brány už očekává.

Čtěte /30 jako prefix, ne jako počet

Číslo za lomítkem je délka prefixu. Zde /30 znamená třicet bitů síťového prefixu, což nechává dva bity pro hostitele, takže blok pokrývá 10.13.0.40 až 10.13.0.43. Není to třicet zařízení a není to server třicet skoků daleko.

Malé prefixy jako tento jsou běžné na tunelových spojích bod-bod: jedna použitelná adresa pro telefon, jedna pro vzdálený konec. Zda aplikace toto uspořádání skutečně dodržuje, je vlastnost její konfigurace. Berte prefix jako nápovědu, jak byla aplikace navržena, ne jako mapu sítě poskytovatele.

Potvrďte tunel z telefonu

Nastavení, pak Síť a internet, pak VPN vypisuje aktivní profil a aplikaci, která ho vlastní. Tato obrazovka je směrodatná v tom, který klient je připojen. Oznámení je jen její shrnutí. Když se obě rozcházejí, věřte obrazovce nastavení a oznámení považujte za zastaralé.

Pokud stavíte autorizovanou diagnostickou integraci, vybraný objekt Network zpřístupňuje adresy spojení a název rozhraní přes LinkProperties. Zaznamenejte profil a síť, ze které jste vzorek odebrali, protože snímek pořízený ve špatné síti odpovídá na otázku, kterou nikdo nepoložil.

Přístup přes shell je méně spolehlivý, než lidé čekají. Názvy rozhraní se liší podle verze a výrobce. Filtr, který odpovídá jen řádku IPv4 obsahujícímu tun, tiše přeskočí přidělení IPv6 a každého klienta, který své rozhraní pojmenuje jinak. Přečtěte si celý výpis, než ho zúžíte.

Zkontrolujte, co web vidí z aplikace, na které vám záleží

Načtěte v prohlížeči veřejnou kontrolu adresy a potom ji zopakujte uvnitř aplikace, kterou skutečně chcete chránit. Pokud obě hlásí stejnou zdrojovou adresu, tunel nese obě. Pokud se liší, hraje roli směrování podle aplikace nebo rozdělené tunelování.

Dvě konfigurace dají zdravé oznámení úplně bez vzdáleného výstupu. Místní filtrovací aplikace může vytvořit tunelové rozhraní, aby kontrolovala DNS nebo blokovala reklamy bez jakéhokoli serveru. VPN jen pro privátní síť lze postavit pro přístup k domácí síti, zatímco běžné prohlížení zůstává přímé. V obou případech je adresa na panelu skutečná a krytí, které předpokládáte, není.

Rozhodněte, zda si oznámení zaslouží druhý pohled

Neočekávané oznámení VPN stojí za prošetření jako nainstalovaná aplikace, ne jako adresa. Zkontrolujte vlastníka profilu, oprávnění správce zařízení a vše, co přibylo od poslední kontroly tohoto seznamu. Odeberte, co nedokážete vysvětlit, a pak znovu sledujte panel. Pokud se oznámení vrátí s profilem, který znáte, máte odpověď. Pokud se vrátí bez něj, aplikaci spouští něco jiného.

Pak uzavřete kruh: vlastnící aplikace, aktivní profil, zdrojová adresa z aplikace, na které vám záleží, očekávaná trasa. Pokud všechny čtyři sedí, číslo v oznámení je jen účetnictví a nic víc.