Pam mae ap Android wedi’i rwystro yn dal i ddangos defnydd rhwydwaith

Rydych chi’n rhwystro ap yn eich mur tân VPN Android, mae’r ap yn stopio gweithio, ac mae ei res ddefnydd yn dal i ddringo. Y casgliad deniadol yw bod y bloc wedi gollwng, neu fod y mesurydd wedi torri. Nid oes y naill na’r llall yn dilyn. Mae cofnod defnydd yn dweud bod beitiau wedi’u priodoli i’r hunaniaeth honno ar ryw bwynt arsylwi; nid yw’n dweud dim am a oedd gwasanaeth o bell wedi derbyn cais. Unwaith y gwyddoch pa ffin a fesurwyd a pha hunaniaeth y codwyd y beitiau arni, mae’r ddau arsylwad yn rhoi’r gorau i wrthddweud ei gilydd.

Mae’r mesurydd yn mesur beitiau, nid cyflenwi

Mae Android yn priodoli traffig i UID ac yn ei gyfrif yn y ddau gyfeiriad, ac mae’n gwneud hynny ar ffin rhyngwyneb yn hytrach nag ar y foment y bydd cais ap yn llwyddo.

Mae ymgais cysylltiad a wrthodir yn dal i symud pecynnau: yr SYN, yr ailosod neu’r ail-drosglwyddiadau sy’n dilyn, ynghyd â’r ymholiad DNS a ddaeth o’u blaenau ill dau. Mae’r beitiau hynny’n bodoli hyd yn oed pan na chyflenwyd dim, ac ar rai llwybrau cânt eu cyfrif cyn i unrhyw hidlydd benderfynu beth i’w wneud â nhw.

Dyna pam y gall rhes ap sydd wedi’i rwystro dyfu tra bod pob cais yn methu. Mae’r mesurydd yn ateb «faint o feitiau a briodolwyd i’r hunaniaeth hon», nid «a gyrhaeddodd yr hunaniaeth hon y rhyngrwyd». Ni all siart wahaniaethu rhwng ffrwd a dderbyniwyd ac ysgwyd llaw a wrthodwyd yn gwrtais, ac ni all cyfanswm sy’n adio’r ddau gyfeiriad at ei gilydd wneud hynny ychwaith.

Mae’r priodoli’n dilyn yr UID, nid yr eicon

Mae’r rhes fesul UID, a gall mwy nag un pecyn rannu un UID, tra gall ap gweladwy drosglwyddo gwaith i gydran ar wahân sy’n rhedeg o dan ei hunaniaeth ei hun. Mae tab porwr a rendrir gan broses WebView a rennir, gwasanaeth cysoni cefndir, neu becyn cymar a osodwyd ochr yn ochr â’r prif ap i gyd yn cynhyrchu traffig y gall y sgrin ddefnydd ei ddangos o dan enw nad oeddech yn ei ddisgwyl, neu o dan yr ap y gwnaethoch ei rwystro. Mae pecyn wedi’i rwystro a chynorthwyydd sy’n cario ei geisiadau yn ddau destun gwahanol, ac roedd y rheol yn cwmpasu dim ond un ohonynt.

Pan fydd y rhifau’n edrych yn anghywir, cymharwch yr UID yn hytrach na’r label. Gofynnir i’r API defnydd drwy UID, ac mae adb shell dumpsys package <package> | grep userId= yn argraffu’r rhif i gymharu ag ef, felly mae dau gofnod â’r un UID yr un hunaniaeth o safbwynt y mesurydd.

Gall y ffenestr amser ragflaenu eich rheol

Cesglir data defnydd mewn bwcedi a’u pôlio, nid eu ffrydio’n fyw. Gall cyfanswm dyddiol gynnwys y munudau cyn i chi alluogi’r bloc, cysoni cefndir o’r awr flaenorol, neu draffig a oedd eisoes ar ei ffordd. Mae cymharu cyfanswm cronnus ag un cais a wrthodwyd a galw’r gwahaniaeth yn ollyngiad yn gamgymeriad mesur, nid yn ddarganfyddiad mur tân.

Defnyddiwch ffenestr fyrrach a dechrau newydd. Nodwch y stamp amser pan fyddwch yn newid y rheol, arhoswch un cyfwng casglu, yna edrychwch ar ddata ar ôl hynny yn unig. Os yw’r cyfanswm yn parhau i godi dros ffenestr sy’n dechrau ar ôl y rheol, mae gennych rywbeth i’w ymchwilio; os yw’n stopio codi, hanes yn cael ei arddangos oedd y twf cynharach.

Efallai nad y gwasanaeth VPN yw’r un a ffurfweddwyd gennych

Mae mur tân VPN yn gweld yn unig y traffig y mae ei wasanaeth ei hun yn ei gario. Os yw ap VPN arall yn cychwyn ac yn cymryd y cysylltiad gweithredol, nid yw eich hidlydd ar y llwybr mwyach tra bod ei ryngwyneb yn dal i fodoli yn y gosodiadau. Mae rhestrau osgoi fesul ap yn gwneud yr un peth yn fwriadol, ac nid yw proffil sy’n eithrio ap yn ollyngiad pan fydd yr ap wedyn yn gweithio.

Gall IPv4, IPv6 a DNS hefyd ymwahanu. Gall hidlydd sy’n trin IPv4 adael IPv6 neu ddatryswr DNS preifat y tu allan iddo, felly mae rhan o draffig yr ap yn dilyn llwybr na ddisgrifiodd eich rheolau erioed. Gwiriwch pa ap sy’n berchen ar y VPN ar hyn o bryd a beth mae’r rhestr eithrio’n ei ddweud cyn i chi ailysgrifennu unrhyw beth:

adb shell settings get secure always_on_vpn_app
adb shell dumpsys connectivity
adb shell dumpsys netstats detail

Profwch un cais newydd a chofnodwch bedwar ffaith

Dewiswch gais diniwed, gwnewch ef unwaith, ac ysgrifennwch bedwar ffaith: y rheol sydd mewn grym, UID yr ap, cyflwr y rhwydwaith a’r amser. Yna gwiriwch a yw eich hidlydd wedi cofnodi’r ffrwd, ac a yw’r cyrchfan neu’r porth wedi gweld yr un cysylltiad. Mae un ffrwd a nodwyd ar y ddwy ochr yn dystiolaeth; nid yw cyfanswm cronnus yn dystiolaeth.

Mae casgliad amddiffynadwy yn enwi’r hyn a wrthodwyd a pha arsylwad a’i cadarnhaodd. Nid yw «cododd y mesurydd» yn ddarganfyddiad, ac nid yw «mae pob mesurydd defnydd yn ffug» ychwaith. Nid yw slogan haen OSI yn setlo hyn: yr ateb gonest yw y gall y mesurydd a’r bloc fod yn gywir ill dau tra’n disgrifio pethau gwahanol. Mae cyfeirnod NetworkStatsManager Android yn dogfennu sut mae’r bwcedi hynny’n cael eu pôlio a’u priodoli.