La Android-VPN-ikono estas ŝaltita, do kial trafiko ne iras tra la tunelo?

Via VPN-ŝlosilo estas en la stata breto, la retumilo ŝargas paĝon, kaj la adreso, kiun retejo raportas, ankoraŭ estas via hejma konekto. Tiu kombinaĵo normalas en Android, ĉar la ikono diras, ke aplikaĵo posedas virtualan retinterfacon, ne ke via trafiko eliras tra fora servilo. Loka filtra aplikaĵo uzas la saman rimedon. Kontrolu, kion la servo efektive faras, antaŭ ol kulpigi la provizanton.

La ikono signifas, ke VPN-servo posedas la interfacon

La VPN-servo de Android permesas al aplikaĵo krei virtualan interfacon kaj ricevi la pakaĵojn enkursigitajn en ĝin. Kio okazas poste, tute dependas de tiu aplikaĵo: ĝi povas plusendi ilin al fora servilo, filtri ilin aŭ forĵeti ilin. La ŝlosila ikono raportas, ke servo tenas la interfacon, ne kien la pakaĵoj iras. Tial filtra aplikaĵo kaj plena tunelo aspektas idente en la stata breto.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Nur unu VPN-servo povas esti aktiva samtempe por uzanto aŭ profilo, kio estas dokumentita konduto, ne cimo. Kiam dua aplikaĵo provas konekti, ĝi aŭ transprenas aŭ malsukcesas, kaj la trafiko de la unua ne plu estas traktata. Se filtra aplikaĵo ĉesas ĝuste kiam vi konektas tunelon, tiu konkurado estas la verŝajna kaŭzo.

Indiĝena profilo aŭ aplikaĵa VPN: ili ne estas interŝanĝeblaj

Profilo IKEv2 provizita de la platformo kaj aplikaĵo, kiu realigas OpenVPN aŭ WireGuard, estas malsamaj produktoj kun malsamaj menuoj. La platforma API por IKEv2 ekzistas de difinita Android-versio, kaj la konstruaĵoj de fabrikantoj ne ĉiuj montras la samajn opciojn en la sama loko. Ekrankopio de alia telefono ne estas dokumento pri kongruo.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Parigu la protokolon kun la kliento, kiu subtenas ĝin, kaj akiru la profilon per la kontrolita kanalo de la provizanto anstataŭ enmeti ĝin en nerilatan formularon. Adreso de finpunkto diras, kie konekti, ne kiu aplikaĵo povas paroli la protokolon. Traktu eksportitajn profilojn kaj QR-kodojn kiel akreditaĵojn, ĉar QR-bildo povas enhavi la tutan ŝlosilon. Se la profilo estis eldonita por alia kliento, reeldonu ĝin anstataŭ konverti ĝin.

Reguloj laŭ aplikaĵoj kaj laboraj profiloj ŝanĝas la amplekson

Android subtenas VPN-agordojn laŭ aplikaĵo, do retumilo povas esti ekster la tunelo dum retpoŝta aplikaĵo estas interne. Persona kaj labora profiloj estas apartaj kuntekstoj kun propra aktiva servo. Kontroli la adreson el la malĝusta aplikaĵo estas unu el la plej oftaj falsaj konkludoj en ĉi tiu kampo.

Rigardu la listojn de inkluzivo kaj ekskluzivo, poste testu per la aplikaĵo, kiu vere gravas al vi. Tunelo de labora profilo ne kovras personajn aplikaĵojn, kaj persona tunelo ne kovras laborajn aplikaĵojn. La sama apartigo klarigas, kial entreprena rimedo funkcias en unu profilo kaj malsukcesas en alia sen videbla agorda diferenco. Notu la profilan kuntekston en la bileto, ĉar ĝi ŝanĝas eĉ kiuj agordoj validas.

Haltu se la aplikaĵo, kiun vi testas, ne estas en la amplekso de la tunelo. Tio estas politika elekto, ne difekto.

Testu, kio efektive forlasis la telefonon

Testu publikajn kaj privatajn celojn, ambaŭ adresajn familiojn kaj ambaŭ alirretojn. Poste komparu la rezulton kun la propra amplekso de la aplikaĵo, ĉar sukcesa paĝŝargo en unu aplikaĵo diras nenion pri la alia. Ripetu post transiro de Wi-Fi al poŝtelefona dateno, ĉar rekonekto povas surteriĝi sur alia vojo.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN kaj la opcio, kiu blokas konektojn sen VPN, rilatas sed malsamas, kaj severa blokado povas rompi ensaluton ĉe captive portal ĝis vi sekvos la dokumentitan proceduron. Agordoj de Private DNS ankaŭ povas interagi kun la resolvilo de la profilo, do blinda anstataŭigo de la DNS de organizo kreas novan difekton. Se la tunelo mortas kiam la ekrano ŝlosiĝas, legu la gvidilon por VPN-programistoj pri fona plenumo kaj bateria optimumigo antaŭ ol reinstali ion ajn.

La simptomo, kiun oni tenu en la kapo, estas la breĉo inter ikono kaj vojo. La ŝlosilo signifas, ke servo posedas la interfacon; nur testo el la intencita aplikaĵo en la intencita reto diras, kien la trafiko iris. Kontrolu ambaŭ, kaj la sekva raporto pri rompita VPN estos multe pli facile lokigebla.