Android-VPN-notifikation viser en privat adresse: hvad betyder det

Du trækker panelet ned, trykker på den faste VPN-notifikation, og den viser noget som 10.13.0.42/30 ved siden af en tilsluttet tilstand. Det tal er den adresse, appen har tildelt sit eget virtuelle interface på din telefon, så det beskriver ét lokalt netværksobjekt, ikke den server, du nåede, eller den adresse, et website vil logge. Intet ved den er hemmeligt, og intet ved den beviser, at din trafik er dækket. Rækkefølgen nedenfor er den, jeg bruger til at finde ud af, hvad en notifikation egentlig siger, fra telefonen i min hånd til en rigtig adressekontrol.

Start med notifikationen, ikke et søgefelt

En moderne Android-klient viser normalt to forskellige ting i samme panel: en forbindelsestilstand og en adresseblok. Tilstanden siger, at tunnelen er oppe. Adresseblokken siger, hvad appen har konfigureret på telefonens side af tunnelen, og klienter viser den, fordi det er det nemmeste bevis, de har, for at interfacet findes.

Hold notifikationen nede, og åbn appens info-side, før du gør noget andet. Notér pakkenavnet, og notér, om appen ligger i din personlige profil eller i en arbejdsprofil. To VPN-klienter med lignende ikoner kan leve på samme enhed, og panelet navngiver ikke altid den, du antager. Er ikonet ukendt, er det fundet, og adressen er en distraktion.

Tre adresser findes samtidig

Din telefon har en Wi-Fi- eller mobiladresse, appen har en adresse på sit tunnelinterface, og en eller anden fjern gateway har den offentlige kildeadresse, som omverdenen ser. Det er tre separate tildelinger, og ingen af dem kan udledes af de to andre.

Tunneladressen i notifikationen er næsten altid privat. 10.13.0.42 ligger inde i 10.0.0.0/8, et af de områder, som RFC 1918 reserverer, så enhver udbyder kan uddele det samme tal. At se den fortæller, at appen brugte en privat pulje, ikke hvor den pulje er hostet. To telefoner på forskellige kontinenter kan rapportere den samme værdi.

Den genbrug er grunden til, at adressen ikke kan fungere som fingeraftryk. En anden udbyder kan bruge den samme blok, fordi intet koordinerer puljerne mellem virksomheder. Udbyderne vælger dem af vane og efter, hvad deres gateway-konfiguration allerede forventer.

Læs /30 som et præfiks, ikke som et antal

Tallet efter skråstregen er præfikslængden. Her betyder /30 tredive bit netværkspræfiks, hvilket efterlader to bit til hosts, så blokken dækker 10.13.0.40 til 10.13.0.43. Det er ikke tredive enheder, og det er ikke en server tredive hop væk.

Små præfikser som dette er almindelige på punkt-til-punkt-tunnelforbindelser: én brugbar adresse til telefonen, én til den fjerne ende. Om appen faktisk holder det layout, er en egenskab ved dens konfiguration. Behandl præfikset som et hint om, hvordan appen er designet, ikke som et kort over udbyderens netværk.

Bekræft tunnelen fra telefonen

Indstillinger, derefter Netværk og internet, derefter VPN viser den aktive profil og den app, der ejer den. Den skærm er autoritativ om, hvilken klient der er tilsluttet. Notifikationen er kun et resumé af den. Når de to er uenige, skal du stole på indstillingsskærmen og behandle notifikationen som forældet.

Hvis du bygger en autoriseret diagnostisk integration, viser det valgte Network-objekt linkadresser og et interfacenavn gennem LinkProperties. Notér profilen og det netværk, du tog prøven på, fordi et øjebliksbillede fra det forkerte netværk besvarer et spørgsmål, ingen stillede.

Shell-adgang er mindre pålidelig, end folk forventer. Interfacenavne varierer efter version og producent. Et filter, der kun matcher en IPv4-linje med tun, springer stille IPv6-tildelinger over og enhver klient, der kalder sit interface noget andet. Læs hele listen, før du indsnævrer den.

Se, hvad et website ser fra den app, du bekymrer dig om

Indlæs en offentlig adressekontrol i browseren, og gentag så kontrollen inde i den app, du faktisk vil beskytte. Hvis begge rapporterer samme kildeadresse, bærer tunnelen begge. Hvis de er forskellige, er der routing pr. app eller split tunneling i spil.

To konfigurationer giver en sund notifikation helt uden fjernudgang. En lokal filtreringsapp kan oprette et tunnelinterface for at inspicere DNS eller blokere annoncer uden nogen server. En kun-privat VPN kan bygges til at nå et hjemmenetværk, mens almindelig browsing forbliver direkte. I begge tilfælde er adressen i panelet rigtig, og den dækning, du antog, er det ikke.

Afgør, om notifikationen fortjener et andet blik

En uventet VPN-notifikation er værd at undersøge som en installeret app, ikke som en adresse. Tjek profilejeren, enhedsadministratorens tilladelser og alt tilføjet, siden du sidst gennemgik den liste. Tilbagekald det, du ikke kan redegøre for, og hold så øje med panelet igen. Kommer notifikationen tilbage med en profil, du genkender, har du svaret. Kommer den tilbage uden, er det noget andet, der starter appen.

Så luk cirklen: ejerappen, den aktive profil, kildeadressen fra den app, du bekymrer dig om, den forventede rute. Hvis alle fire passer, er tallet i notifikationen blot bogføring og intet mere.