Umfang eines Android-VPN-Resets: Was jede Ebene wirklich löscht

Android kennt vier getrennte Vorgänge, die man einen VPN-Reset nennt, und sie löschen unterschiedliche Dinge. Das Leeren des App-Caches entfernt temporäre Dateien; das Leeren des App-Speichers entfernt das Profil selbst. Ein Netzwerkreset baut den Verbindungs-Stack neu auf, und ein Werksreset ersetzt die Nutzerdatenpartition. Wählen Sie den Vorgang nach dem Zustand, den Sie vermuten, nicht nach Gewohnheit. Raten Sie falsch, ist das Profil oder der Registrierungspfad, den Sie brauchten, weg, bevor Sie irgendetwas diagnostiziert haben.

Hier ist die Regel, die ich bei jedem Anruf anwende: Benennen Sie den Zustand, benennen Sie seinen Eigentümer und entfernen Sie dann nur die Kopie dieses Eigentümers. Der Rest dieser Seite handelt davon, welche Android-Komponente welche Bytes hält.

Wo ein Android-VPN-Profil tatsächlich lebt

Ein Drittanbieter-Client auf einem nicht verwalteten Telefon hält sein Profil im eigenen App-Datenverzeichnis — als Einstellungsdatei, JSON-Blob oder kleine SQLite-Datenbank. Genau dieses Verzeichnis löscht der Eintrag Speicher leeren in den Einstellungen. Das Profil steht nicht in der System-VPN-Liste: Diese Liste enthält den Verbindungseintrag, den der Client über VpnService registriert hat, samt Verbindungsname, besitzendem Paket und jedem Always-on-Flag, das der Nutzer gesetzt hat.

VpnService ist Rohrleitungsarbeit, kein Speicher. Der Client fragt einmal um Zustimmung, baut ein tun-Interface und bewegt Pakete selbst, daher muss die Plattform das Profilformat nie verstehen. Deshalb wird eine von einem anderen Telefon kopierte Konfigurationsdatei oft als leeres Profil importiert oder scheitert an der Validierung.

Anmeldedaten nehmen einen anderen Weg. Ein über den System-KeyChain bezogener Schlüssel oder ein Zertifikat bleibt in einem systemverwalteten Speicher, sodass das Löschen von App-Daten die Anmeldedaten nutzbar lassen kann und nur den Alias des Clients darauf entfernt.

Verwaltete Geräte bringen einen zweiten Eigentümer ins Spiel. Ein von einer EMM erstelltes Arbeitsprofil betreibt seine eigene Client-Kopie unter seiner eigenen Richtlinie, und ein Always-on-VPN kann per Geräterichtlinie festgelegt werden, sodass der Nutzer es nicht trennen kann. Auf solchen Geräten wird das Profil meist bei der Registrierung bereitgestellt und nicht von Hand eingetippt. Die Wiederherstellung ist dann eine Entscheidung zur erneuten Registrierung, nicht zum erneuten Import.

Cache, Speicher, Netzwerkreset, Werksreset

Die vier Vorgänge entsprechen diesen Grenzen. Lesen Sie die Zeile für den vermuteten Zustand, bevor Sie etwas antippen.

Cache-Leeren ist das sicherste und das am wenigsten nützliche. Es entfernt temporäre Dateien, und genau dort hat ein Client vielleicht das Log abgelegt, das ein Support-Mitarbeiter gerade von Ihnen wollte. Androids Anleitung zur Fehlerbehebung bei Apps behandelt Cache und Speicher als zwei verschiedene Löschvorgänge, und das sollten Sie auch.

Speicher leeren ist der eigentliche Reset pro App. Er entfernt das Profil, das gespeicherte Gateway und die Vertrauens-Flags, die der Client für bestimmte Netzwerke hielt. Er widerruft keine KeyChain-Einträge, entfernt keinen System-VPN-Eintrag, der einer anderen App gehört, und entfernt in einem verwalteten Profil nicht die Richtlinie, die das Profil ursprünglich verteilt hat.

Der Netzwerkreset in den Einstellungen gilt geräteweit, und sein genauer Umfang ändert sich mit Hersteller und Android-Version. Der Bestätigungsdialog Ihres Builds ist die einzige verlässliche Aussage darüber, was er vergisst.

Notieren Sie zuerst den Rückweg

Schreiben Sie vor jedem zerstörerischen Schritt fünf Dinge auf: Client-Version, Profilname, Gateway-Adresse, Dienst-Eigentümer und die genaue Stufe, auf der die Verbindung scheitert.

Diese fünf Fakten trennen einen Client-Fehler von einem Richtlinien- oder Serverfehler. Ein Timeout, eine Zertifikatsablehnung und eine sofortige Verweigerung sind drei verschiedene Fehler, und jeder zeigt auf einen anderen Eigentümer. Leeren Sie zuerst den Speicher, verlieren Sie die clientseitigen Belege, die sie unterschieden hätten. Bewahren Sie eine bereinigte Kopie des Logs auf, solange es noch existiert.

Bestätigen Sie dann, wie die Verbindung neu erstellt würde. Ein Anzeigename und ein Hostname reichen nicht, wenn das Profil von einem Client-Zertifikat, einer verwalteten Konfiguration oder einer an dieses Gerät gebundenen MFA-Registrierung abhing.

Die Bootstrap-Sperre, die niemand einplant

Ein Fehlermodus verdient einen eigenen Abschnitt. Wenn der einzige Ort zum Herunterladen des Profils ein internes Portal ist, das nur über den Tunnel erreichbar ist, den Sie gerade entfernen wollen, schafft das Leeren des Speichers eine Sackgasse ohne Ausweg in der App.

Always-on-VPN mit Verbindungen ohne VPN blockieren macht daraus einen Totalausfall: Das Telefon hat keinen funktionierenden Weg zum Portal, und der Client hat kein Profil, um den Tunnel hochzubringen. Die beiden Zustände halten einander fest.

Der Ausweg ist verfahrenstechnisch, nicht technisch. Exportieren oder fotografieren Sie die Konfiguration, solange der Tunnel noch läuft, stellen Sie sicher, dass das Portal eine Route hat, die nicht vom VPN abhängt, und löschen Sie erst danach etwas. Fragen Sie auf einem verwalteten Gerät den Administrator, welcher Wiederherstellungsweg existiert, bevor Sie das Profil anfassen.

Prüfen Sie den wiederhergestellten Tunnel

Prüfen Sie nach der Rückkehr des Profils der Reihe nach: Namensauflösung, eine TCP-Verbindung zu einem bekannten internen Host und das Fehlerblockierverhalten, auf das Sie sich tatsächlich verlassen. Die Reihenfolge zählt, weil ein Tunnel hochkommen und trotzdem DNS leaken kann.

Ein Schlüsselsymbol in der Statusleiste belegt, dass das Interface existiert, mehr nicht.

Wenn die Verbindung nach einem gezielten Reset weiterhin scheitert, hören Sie auf, die Größe des Vorgangs zu steigern. Bewahren Sie die Belege vorher und nachher auf, notieren Sie, welche Ebene Sie geleert haben, und geben Sie den Fall mit den fünf Fakten an den Komponenten-Eigentümer. Ein Werksreset ist eine separate Entscheidung mit weit höheren Kosten und nicht der nächste Schritt in einer VPN-Checkliste.