Das Android-VPN-Symbol ist an, warum läuft der Verkehr trotzdem nicht durch den Tunnel?

Ihr VPN-Schlüssel steht in der Statusleiste, der Browser lädt eine Seite, und die Adresse, die eine Website meldet, ist immer noch Ihre Heimverbindung. Diese Kombination ist auf Android normal, denn das Symbol sagt, dass eine App eine virtuelle Netzwerkschnittstelle besitzt, nicht dass Ihr Verkehr über einen entfernten Server hinausgeht. Eine lokale Filter-App nutzt dieselbe Einrichtung. Prüfen Sie, was der Dienst tatsächlich tut, bevor Sie den Anbieter beschuldigen.

Das Symbol bedeutet, dass ein VPN-Dienst die Schnittstelle besitzt

Der VPN-Dienst von Android erlaubt einer App, eine virtuelle Schnittstelle zu erstellen und die Pakete zu empfangen, die dorthin geleitet werden. Was danach geschieht, liegt völlig bei dieser App: Sie kann sie an einen entfernten Server weiterleiten, filtern oder verwerfen. Das Schlüsselsymbol meldet, dass ein Dienst die Schnittstelle hält, nicht wohin die Pakete gehen. Deshalb sehen eine Filter-App und ein voller Tunnel in der Statusleiste gleich aus.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Pro Benutzer oder Profil kann jeweils nur ein VPN-Dienst aktiv sein, was dokumentiertes Verhalten und kein Fehler ist. Wenn eine zweite App sich verbinden will, übernimmt sie entweder oder scheitert, und der Verkehr der ersten wird nicht mehr behandelt. Wenn eine Filter-App in dem Moment beendet wird, in dem Sie einen Tunnel verbinden, ist dieser Wettbewerb der wahrscheinliche Grund.

Natives Profil oder App-VPN: Sie sind nicht austauschbar

Ein von der Plattform bereitgestelltes IKEv2-Profil und eine App, die OpenVPN oder WireGuard implementiert, sind verschiedene Produkte mit verschiedenen Menüs. Die Plattform-API für IKEv2 existiert ab einer bestimmten Android-Version, und Hersteller-Builds zeigen nicht alle dieselben Optionen an derselben Stelle. Ein Screenshot von einem anderen Telefon ist kein Kompatibilitätsdokument.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Bringen Sie das Protokoll mit dem Client zusammen, der es unterstützt, und beziehen Sie das Profil über den verifizierten Kanal des Anbieters, statt es in ein unpassendes Formular zu kleben. Eine Endpunktadresse sagt, wohin Sie sich verbinden, nicht welche App das Protokoll sprechen kann. Behandeln Sie exportierte Profile und QR-Codes als Anmeldedaten, denn ein QR-Bild kann den vollständigen Schlüssel enthalten. Wurde das Profil für einen anderen Client ausgestellt, stellen Sie es neu aus, statt es umzuwandeln.

Regeln pro App und Arbeitsprofile ändern den Umfang

Android unterstützt VPN-Konfigurationen pro App, sodass ein Browser außerhalb des Tunnels liegen kann, während eine Mail-App darin liegt. Persönliches und Arbeitsprofil sind getrennte Kontexte mit ihrem eigenen aktiven Dienst. Die Adresse in der falschen App zu prüfen, ist eine der häufigsten Fehlschlüsse in diesem Bereich.

Sehen Sie sich die Einschluss- und Ausschlusslisten an und testen Sie dann mit der App, die Ihnen wirklich wichtig ist. Ein Arbeitsprofil-Tunnel deckt keine persönlichen Apps ab, und ein persönlicher Tunnel deckt keine Arbeits-Apps ab. Dieselbe Trennung erklärt, warum eine Unternehmensressource in einem Profil funktioniert und in einem anderen ohne sichtbaren Konfigurationsunterschied scheitert. Notieren Sie den Profilkontext im Ticket, denn er ändert sogar, welche Einstellungen gelten.

Halten Sie an, wenn die getestete App nicht im Umfang des Tunnels liegt. Das ist eine Richtlinienentscheidung, kein Fehler.

Testen Sie, was das Telefon tatsächlich verlassen hat

Testen Sie öffentliche und private Ziele, beide Adressfamilien und beide Zugangsnetze. Vergleichen Sie das Ergebnis dann mit dem eigenen Umfang der App, denn eine erfolgreich geladene Seite in einer App sagt nichts über die andere. Wiederholen Sie es nach einem Wechsel von WLAN zu Mobilfunkdaten, da eine erneute Verbindung auf einem anderen Pfad landen kann.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN und die Option, die Verbindungen ohne VPN blockiert, sind verwandt, aber verschieden, und eine strenge Sperre kann die Anmeldung am Captive Portal brechen, bis Sie dem dokumentierten Verfahren folgen. Private-DNS-Einstellungen können auch mit dem Resolver des Profils interagieren, sodass ein blindes Ersetzen des DNS einer Organisation einen neuen Fehler erzeugt. Wenn der Tunnel beim Sperren des Bildschirms stirbt, lesen Sie die VPN-Entwicklerhinweise zu Hintergrundausführung und Akkuoptimierung, bevor Sie irgendetwas neu installieren.

Das Symptom, das Sie im Blick behalten sollten, ist die Lücke zwischen Symbol und Pfad. Der Schlüssel bedeutet, dass ein Dienst die Schnittstelle besitzt; nur ein Test aus der vorgesehenen App im vorgesehenen Netz sagt, wohin der Verkehr ging. Prüfen Sie beides, und der nächste Bericht über ein defektes VPN lässt sich viel leichter einordnen.