VPN hängt bei Connecting im Flugmodus: den Uplink finden
Ein Client, der im Flugmodus bei Connecting stehen bleibt, hat womöglich einfach keinen Uplink. Trennen Sie Funkstatus, Assoziation, Portalanmeldung und die Blockierungsrichtlinie.
Das Telefon zeigt das Flugzeug-Symbol, der VPN-Client steht seit zwei Minuten auf Connecting, und das Profil ist korrekt. Vor einer Stunde funktionierte es im selben Gebäude. Nichts ist kaputt: Ein VPN ist eine Verbindung, die von einem anderen Netz getragen wird, und der Flugmodus hat gerade das Netz entfernt, das sie getragen hat. Der Client versucht es weiter, weil er das ohne Uplink tut.
Verwirrend ist, dass das Flugzeug-Symbol nicht sagt, ob Wi-Fi verfügbar ist, und Connecting nicht sagt, ob der Client sich authentifiziert oder nur wartet. Trennen Sie diese beiden Lesarten, und die Diagnose dauert eine Minute.
Das Flugzeug-Symbol ist kein Funkbericht
Auf unterstützten Android-Geräten können Wi-Fi und Bluetooth im Flugmodus eingeschaltet bleiben, und das Gerät merkt sich die Wahl, die Sie zuletzt getroffen haben. Googles Anleitung zum Flugmodus für Pixel beschreibt genau dieses Verhalten. Das Symbol kann also bedeuten, dass Mobilfunk aus ist, und nichts weiter.
Prüfen Sie den tatsächlichen Zustand statt der Ikone. adb shell settings get global airplane_mode_on liefert 0 oder 1 für den Modus selbst, und adb shell dumpsys connectivity listet die Netze auf, die das Gerät derzeit hat, samt ihrem Validierungsstatus. Diese beiden Ausgaben beantworten zusammen die Frage, die das Symbol nicht beantworten kann.
Ist Wi-Fi aus oder an, aber mit nichts assoziiert, gibt es keinen Weg zum VPN-Endpunkt, und kein noch so häufiges Neuverbinden schafft einen. Dieser Fall lohnt sich, zuerst auszuschließen, denn er ist der einzige, in dem die richtige Lösung außerhalb der VPN-App liegt.
Was Connecting tatsächlich bedeutet
Ein Client kann ein gespeichertes Profil halten, dessen Namen anzeigen und einen Spinner drehen, ohne irgendetwas kontaktiert zu haben. Die Konfiguration ist lokal. Einen Tunnel aufzubauen erfordert einen erreichbaren Server, einen abgeschlossenen Handshake und eine Schnittstelle zum Routen. Nur der letzte Teil braucht ein funktionierendes Netz, weshalb die ersten beiden auch bei ausgeschaltetem Funk erfolgreich aussehen können.
Der Spinner passt also zu mindestens drei verschiedenen Situationen: gar kein Uplink, ein Uplink, der den Endpunkt nicht erreicht, und ein Uplink, der ihn erreicht, aber die Authentifizierung scheitert. Auf dem Bildschirm sehen sie identisch aus, im Protokoll völlig verschieden. Deshalb ist das erste nützliche Artefakt in all diesen Fällen das Protokoll und nicht ein weiterer Versuch.
Androids eigene VPN-Dokumentation zieht dieselbe Grenze zwischen Verbindungsaufbau und den getrennten Richtlinien für Immer-an und Blockieren. Diese Trennung ist der Grund, warum ein Telefon geschützt aussehen kann, während es offline ist, und trotzdem keinen Tunnel hat.
Vier Zustände, die man auseinanderhalten sollte
Die vier Zustände unten sind es wert, benannt zu werden, weil der Bildschirm sie identisch darstellt.
| State | What you will see | What to do |
|---|---|---|
| Airplane mode, Wi-Fi off | No networks in dumpsys, VPN retries forever | Turn Wi-Fi on, or accept that the tunnel cannot exist |
| Wi-Fi on, not associated | Interface exists, no default network | Join the access point |
| Associated, not validated | Network listed, captive-portal flag set | Complete the portal sign-in, then reconnect |
| Validated, tunnel down | Internet works, VPN fails or blocks | Debug the tunnel, not the radio |
Die dritte Zeile erwischt die meisten Menschen in Hotels und Flughäfen. Assoziation ist keine Zulassung: Ein Portal, das das Telefon nicht durchgelassen hat, nimmt das Wi-Fi-Passwort bereitwillig an und weigert sich dann, Verkehr zum VPN-Endpunkt durchzulassen. Sich zuerst über den Browser anzumelden, während der Tunnel aus ist, ist meist der einzige Weg hindurch.
Warum Blockieren es schlimmer aussehen lässt
Sind Immer-an-VPN und Verbindungen ohne VPN blockieren beide aktiviert, wird jede abgedeckte App blockiert, sobald der Tunnel nicht steht. Das ist die Funktion bei der Arbeit, kein zweiter Fehler. Das Symptom wechselt von einer fehlschlagenden App zu allem, was fehlschlägt, was wie ein viel größeres Problem klingt.
Es erklärt auch die Reihenfolge, die Menschen falsch lesen: Flugmodus an, kein Uplink, Apps blockiert, VPN sagt connecting. Die Blockade war die Richtlinie, die ihren Job tat. Die Richtlinie abzuschalten, um den Uplink zu testen, entfernt den Schutz, den Sie vermutlich wollten, und lehrt Sie nichts.
Prüfen Sie stattdessen den Umfang. Welche Apps sind abgedeckt, welche ausgenommen, und gilt das Profil pro Nutzer oder geräteweit. Eine Aufgabe, die die VPN-App startet, sobald Wi-Fi erscheint, ist ein Auslöser, keine Garantie, dass vorher kein Paket das Gerät verlassen hat.
Eine Diagnosereihenfolge, die das Raten beendet
Arbeiten Sie von unten nach oben. Bestätigen Sie den Modus, bestätigen Sie, dass ein Netz existiert, dass es validiert ist, dass es etwas außerhalb des lokalen Subnetzes erreicht, und schauen Sie erst dann auf den Client. adb shell ping -c 3 1.1.1.1 ist ein grober Test, aber er trennt einen fehlenden Pfad von einem Pfad, der existiert, während der Tunnel unzufrieden ist.
Scheitert der Ping, während ein Netz aufgeführt ist, liegt das Problem oberhalb des VPN, und keine Client-Einstellung behebt es. Gelingt der Ping und der Tunnel baut sich trotzdem nicht auf, erfassen Sie in diesem Moment das Protokoll des Clients: Der Fehler unterscheidet eine Zeitüberschreitung von einer abgelehnten Authentifizierung, und diese beiden haben nichts gemeinsam.
Schließen Sie ab, indem Sie den gewünschten Zustand wiederherstellen: Wi-Fi im Flugmodus erlaubt, wenn das Ihre normale Einrichtung ist, das Portal abgeschlossen und die Blockierungsrichtlinie wieder an. Verbinden Sie sich dann einmal neu und bestätigen Sie, dass der Tunnel von selbst hochkommt, denn eine Konfiguration, die erst nach manuellen Versuchen funktioniert, wird beim nächsten Start wieder scheitern.