Android-VPN-Benachrichtigung zeigt eine private Adresse: was das bedeutet

Sie ziehen die Benachrichtigungsleiste herunter, tippen die dauerhafte VPN-Benachrichtigung an, und dort steht so etwas wie 10.13.0.42/30 neben dem verbundenen Zustand. Diese Zahl ist die Adresse, die die App ihrem eigenen virtuellen Interface auf dem Telefon zugewiesen hat; sie beschreibt also ein lokales Netzwerkobjekt, nicht den Server, den Sie erreicht haben, und nicht die Adresse, die eine Website protokolliert. Nichts daran ist geheim, und nichts daran beweist, dass Ihr Verkehr abgedeckt ist. Die folgende Reihenfolge ist die, mit der ich kläre, was eine Benachrichtigung tatsächlich sagt, vom Telefon in der Hand bis zur echten Adressprüfung.

Beginnen Sie mit der Benachrichtigung, nicht mit einem Suchfeld

Ein moderner Android-Client zeigt im selben Fenster meist zwei verschiedene Dinge: einen Verbindungszustand und einen Adressblock. Der Zustand sagt, dass der Tunnel steht. Der Adressblock sagt, was die App auf der Telefonseite dieses Tunnels eingerichtet hat, und Clients drucken ihn ab, weil er der einfachste Beweis ist, dass das Interface existiert.

Halten Sie die Benachrichtigung gedrückt und öffnen Sie die App-Infoseite, bevor Sie etwas anderes tun. Notieren Sie den Paketnamen und prüfen Sie, ob die App im persönlichen Profil oder in einem Arbeitsprofil liegt. Zwei VPN-Clients mit ähnlichen Symbolen können auf einem Gerät leben, und die Leiste nennt nicht immer den, den Sie vermuten. Ist das Symbol unbekannt, ist das der Befund, und die Adresse lenkt nur ab.

Drei Adressen existieren gleichzeitig

Ihr Telefon hat eine WLAN- oder Mobilfunkadresse, die App hat eine Adresse auf ihrem Tunnel-Interface, und ein entferntes Gateway hat die öffentliche Quelladresse, die die Außenwelt sieht. Das sind drei getrennte Zuweisungen, und keine lässt sich aus den anderen beiden ableiten.

Die Tunneladresse in der Benachrichtigung ist fast immer privat. 10.13.0.42 liegt innerhalb von 10.0.0.0/8, einem der von RFC 1918 reservierten Bereiche, also darf jeder Anbieter dieselbe Nummer vergeben. Sie zu sehen sagt, dass die App einen privaten Pool genutzt hat, nicht wo dieser Pool gehostet wird. Zwei Telefone auf verschiedenen Kontinenten können denselben Wert melden.

Diese Wiederverwendung ist der Grund, warum die Adresse nicht als Fingerabdruck taugt. Ein zweiter Anbieter kann denselben Block verwenden, weil zwischen den Firmen niemand die Pools koordiniert. Anbieter wählen sie aus Gewohnheit und nach dem, was ihre Gateway-Konfiguration ohnehin erwartet.

Lesen Sie /30 als Präfix, nicht als Anzahl

Die Zahl hinter dem Schrägstrich ist die Präfixlänge. Hier bedeutet /30 dreißig Bit Netzwerkpräfix, was zwei Bit für Hosts lässt, sodass der Block 10.13.0.40 bis 10.13.0.43 umfasst. Es sind nicht dreißig Geräte, und es ist kein Server dreißig Hops entfernt.

Kleine Präfixe wie dieses sind bei Punkt-zu-Punkt-Tunnelstrecken üblich: eine nutzbare Adresse für das Telefon, eine für das entfernte Ende. Ob die App dieses Layout wirklich beibehält, ist eine Eigenschaft ihrer Konfiguration. Behandeln Sie das Präfix als Hinweis darauf, wie die App entworfen wurde, nicht als Karte des Anbieternetzes.

Bestätigen Sie den Tunnel vom Telefon aus

Einstellungen, dann Netzwerk und Internet, dann VPN listet das aktive Profil und die App, der es gehört. Dieser Bildschirm ist maßgeblich dafür, welcher Client verbunden ist. Die Benachrichtigung ist nur seine Zusammenfassung. Wenn beide nicht übereinstimmen, vertrauen Sie dem Einstellungsbildschirm und behandeln Sie die Benachrichtigung als veraltet.

Wenn Sie eine autorisierte Diagnose-Integration bauen, legt das ausgewählte Network-Objekt Linkadressen und einen Interface-Namen über LinkProperties offen. Notieren Sie das Profil und das Netzwerk, aus dem Sie die Probe genommen haben, denn eine Momentaufnahme im falschen Netz beantwortet eine Frage, die niemand gestellt hat.

Shell-Zugriff ist unzuverlässiger, als viele erwarten. Interface-Namen unterscheiden sich nach Release und Hersteller. Ein Filter, der nur auf eine IPv4-Zeile mit tun passt, überspringt still IPv6-Zuweisungen und jeden Client, der sein Interface anders nennt. Lesen Sie die vollständige Liste, bevor Sie sie einschränken.

Prüfen Sie, was eine Website aus der App sieht, die Sie interessiert

Laden Sie im Browser eine öffentliche Adressprüfung, und wiederholen Sie die Prüfung dann in der App, die Sie wirklich schützen wollen. Melden beide dieselbe Quelladresse, trägt der Tunnel beide. Unterscheiden sie sich, ist Routing pro App oder Split-Tunneling im Spiel.

Zwei Konfigurationen erzeugen eine gesunde Benachrichtigung ganz ohne entfernten Ausgang. Eine lokale Filter-App kann ein Tunnel-Interface anlegen, um DNS zu prüfen oder Werbung zu blockieren, ohne einen Server. Ein reines Privatnetz-VPN lässt sich bauen, um ein Heimnetz zu erreichen, während normales Surfen direkt bleibt. In beiden Fällen ist die Adresse in der Leiste echt und die angenommene Abdeckung nicht.

Entscheiden Sie, ob die Benachrichtigung einen zweiten Blick verdient

Eine unerwartete VPN-Benachrichtigung ist als installierte App untersuchenswert, nicht als Adresse. Prüfen Sie den Profilinhaber, die Geräteadministrator-Rechte und alles, was seit der letzten Durchsicht dieser Liste hinzugekommen ist. Entziehen Sie, was Sie nicht erklären können, und beobachten Sie die Leiste erneut. Kommt die Benachrichtigung mit einem Profil zurück, das Sie kennen, haben Sie Ihre Antwort. Kommt sie ohne zurück, startet etwas anderes die App.

Schließen Sie dann den Kreis: Besitzer-App, aktives Profil, Quelladresse aus der App, die Sie interessiert, erwartete Route. Passen alle vier zusammen, ist die Zahl in der Benachrichtigung reine Buchführung und nichts weiter.