Android-VPN-ikonet lyser, så hvorfor går trafikken ikke gennem tunnelen?

Din VPN-nøgle står i statuslinjen, browseren indlæser en side, og den adresse, et websted rapporterer, er stadig din hjemmeforbindelse. Den kombination er normal på Android, fordi ikonet siger, at en app ejer en virtuel netværksgrænseflade, ikke at din trafik forlader via en fjernserver. En lokal filtreringsapp bruger samme facilitet. Tjek, hvad tjenesten faktisk gør, før du bebrejder udbyderen.

Ikonet betyder, at en VPN-tjeneste ejer grænsefladen

Androids VPN-tjeneste lader en app oprette en virtuel grænseflade og modtage de pakker, der routes ind i den. Hvad der sker derefter, er helt op til den app: den kan videresende dem til en fjernserver, filtrere dem eller droppe dem. Nøgleikonet angiver, at en tjeneste holder grænsefladen, ikke hvor pakkerne tager hen. Derfor ser en filtreringsapp og en fuld tunnel identiske ud i statuslinjen.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Kun én VPN-tjeneste kan være aktiv ad gangen pr. bruger eller profil, hvilket er dokumenteret adfærd og ikke en fejl. Når en anden app prøver at forbinde, tager den enten over eller fejler, og den førstes trafik behandles ikke længere. Hvis en filtreringsapp afslutter, i det øjeblik du forbinder en tunnel, er den konkurrence den sandsynlige årsag.

Indbygget profil eller app-VPN: de kan ikke udskiftes

En IKEv2-profil, som platformen stiller til rådighed, og en app, der implementerer OpenVPN eller WireGuard, er forskellige produkter med forskellige menuer. Platformens API til IKEv2 findes fra en bestemt Android-version, og producenternes builds viser ikke alle de samme valgmuligheder samme sted. Et skærmbillede fra en anden telefon er ikke et kompatibilitetsdokument.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Match protokollen med den klient, der understøtter den, og hent profilen via udbyderens verificerede kanal i stedet for at indsætte den i en uvedkommende formular. En endpoint-adresse fortæller, hvor du skal forbinde, ikke hvilken app der kan tale protokollen. Behandl eksporterede profiler og QR-koder som legitimationsoplysninger, fordi et QR-billede kan indeholde hele nøglen. Hvis profilen er udstedt til en anden klient, skal du udstede den igen i stedet for at konvertere den.

Regler pr. app og arbejdsprofiler ændrer omfanget

Android understøtter VPN-konfigurationer pr. app, så en browser kan være uden for tunnelen, mens en mailapp er inden for. Personlige og arbejdsprofiler er separate kontekster med deres egen aktive tjeneste. At tjekke adressen fra den forkerte app er en af de mest almindelige falske konklusioner på dette område.

Se på inklusions- og eksklusionslisterne, og test derefter med den app, du faktisk bekymrer dig om. En arbejdsprofil-tunnel dækker ikke personlige apps, og en personlig tunnel dækker ikke arbejdsapps. Den samme adskillelse forklarer, hvorfor en virksomhedsressource virker i én profil og fejler i en anden uden synlig konfigurationsforskel. Notér profikonteksten i sagen, fordi den ændrer, hvilke indstillinger der overhovedet gælder.

Stop, hvis den app, du tester, ikke er i tunnelens omfang. Det er et politisk valg, ikke en fejl.

Test, hvad der faktisk forlod telefonen

Test offentlige og private destinationer, begge adressefamilier og begge adgangsnetværk. Sammenlign derefter resultatet med appens eget omfang, fordi en vellykket sideindlæsning i én app ikke siger noget om den anden. Gentag efter skift fra Wi-Fi til mobildata, da en genforbindelse kan lande på en anden vej.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN og indstillingen, der blokerer forbindelser uden VPN, er beslægtede men forskellige, og en streng blokering kan ødelægge captive-portal-login, indtil du følger den dokumenterede procedure. Private DNS-indstillinger kan også interagere med profilens resolver, så en blind udskiftning af en organisations DNS skaber en ny fejl. Hvis tunnelen dør, når skærmen låses, så læs VPN-udviklervejledningen om baggrundskørsel og batterioptimering, før du geninstallerer noget.

Symptomet, du skal holde fast i, er kløften mellem ikonet og vejen. Nøglen betyder, at en tjeneste ejer grænsefladen; kun en test fra den tilsigtede app på det tilsigtede netværk fortæller, hvor trafikken gik hen. Tjek begge, og den næste rapport om en defekt VPN er meget lettere at placere.