Kial sendrata sencimiga trafiko ne pruvas VPN-eliron

Vi ŝaltis sendratan sencimigon, konektis tekkomputilon, kaj la sesio daŭris labori dum la VPN estis aktiva. Tio aspektas kvazaŭ io glitis preter la tunelo. Preskaŭ certe ne. Sencimiga sesio kaj petskribo de aplikaĵo al retejo estas malsamaj retaj rilatoj, kaj nur unu el ili devus trapasi la tunelon.

Mi renkontis ĉi tiun mislegadon dufoje: unufoje kun la telefono kaj tekkomputilo en la sama Wi-Fi, kaj unufoje post restartigo kiam la parigo pluvivis. En ambaŭ kazoj la VPN faris ĝuste tion, por kio ĝi estis agordita.

Nomu la observon antaŭ ol nomi la cimon

Tri eventoj povas antaŭi aserton pri eliro, kaj ili ne estas interŝanĝeblaj. Ilo povas malkovri servon, la aparato povas aprobi laborejon, aŭ rajtigita sesio povas fakte porti komandojn kaj bitokojn. Notu, kiun vi vidis, ĉar ĉiu pruvas malpli ol homoj supozas.

Malkovro estas kutime mDNS aŭ skanado de pordoj. Parigo estas aliĝa decido farita sur la telefono, konfirmita per kodo, kiun la uzanto tajpas. Viva sesio signifas, ke trafiko moviĝis inter du parigitaj finpunktoj. Nenio el tio priskribas, kien iras la HTTPS-peto de aplikaĵo.

Tenu la celon, interfacon, adresan familion, tempomarkon kaj uzantprofilon ligitaj al la evento. Sen tiuj detaloj la observo ne povas esti komparata kun la celita loka retpolitiko, nek kun la VPN-versio, kiu tiam funkciis.

Kial la du vojoj neniam renkontiĝas

Sendrata sencimigo estas envenanta konekto al la aparato. adbd aŭskultas sur pordo ligita al la Wi-Fi-interfaco, kaj la laborejo konektiĝas al ĝi post parigo. La direkto gravas: via tekkomputilo atingas en la telefonon, ne inverse. Tio estas la malo de elira liko.

La interreta trafiko de aplikaĵo eliras tra la tunela interfaco, kiun instalas VpnService, kongruigita laŭ UID kaj enkursigaj reguloj. adbd estas sistema demono funkcianta kiel uzanto shell, ne aplikaĵo ene de tiu enkursiga aro. Ĝi restas sur la suba Wi-Fi-ligilo eĉ kiam ĉiu aplikaĵo estas fiksita al la tunelo.

Ŝlosreĝimo devigas la tunelon por kovritaj aplikaĵoj. Ĝi ne transformas aŭskultan ingon en elirejon.

Tial funkcianta ADB-sesio kaj funkcianta mortigŝaltilo kunekzistas sen kontraŭdiro. Por pruvi likon, vi devas observi la direkton, kiu devus esti blokita.

Kiel elirtesto efektive aspektas

Testu la kovritan aplikaĵon, ne la sencimigan kanalon. Starigu la fiaskokondiĉon intence, poste faru unu freŝan peton kaj registru, kio okazis.

1. Konfirmu, ke la VPN estas la sola vojo: ŝaltu ĉiam-aktivan VPN kun blokado de konektoj sen VPN.
2. Haltigu la VPN laŭ la subtenata maniero kaj konfirmu, ke la aplikaĵo raportas neniun konektecon.
3. Sendu unu sendanĝeran peton el tiu aplikaĵo kaj notu, ĉu ĝi fiaskas aŭ sukcesas.
4. Ripetu kun sendrata sencimigo ŝaltita, poste malŝaltita, por izoli la variablon.

Blokita peto sub tiuj kondiĉoj estas pruvo. Sukcesa ADB-sesio ne estas, kaj nek unu ping el terminala aplikaĵo.

Se la peto tamen sukcesas dum ŝlosreĝimo estas ŝaltita, registru la UID de la aplikaĵo kaj ĝian VPN-permeson, la aktivan reton kaj la klientversion. Tiu kombino estas reala trovaĵo.

Parigo postvivas la sesion

Parigo estas daŭra stato, ne manpremo, kiun vi povas forgesi post la kabla testo. La sencimiga dokumentaro de Android priskribas la sendratan laborfluon kaj notas, ke la rilato daŭras ĝis ĝi estos eksplicite forgesita aŭ la rajtigoj revokitaj.

Kontrolu, kio ankoraŭ estas rajtigita, antaŭ ol kulpigi la tunelon. Malfermu Sendratan sencimigon, rigardu Parigitajn aparatojn kaj forgesu ion ajn, kion vi ne plu rekonas. Rulu adb devices de la laborejo por vidi, kiuj enskriboj ankoraŭ respondas, kaj adb disconnect por forigi malnoviĝintan. Malŝalti sendratan sencimigon tute fermas la aŭskultan pordon.

Sur dividita aŭ nefidinda reto, lasu ĝin malŝaltita. Daŭra rajtigo sur reto, kiun vi ne kontrolas, estas pli granda problemo ol hipoteza TUN-preteriro.

Antaŭ ol vi raporti tiun cimon

Utila raporto nomas la precizan limon, kiu malsukcesis. Inkluzivu la aparatan modelon kaj Android-version, la VPN-klienton kaj version, ĉu ŝlosreĝimo estis ŝaltita, la aplikaĵan pakaĵon kaj UID, kaj la reton, sur kiu estis la telefono. Aldonu la komandon aŭ peton, kiu produktis la observon, plus la tempon, kiam ĝi okazis. Sen tio neniu povas reprodukti la limon, kiun vi asertas esti rompita.

Ne malŝaltu devigon kaj ne elmetu sencimigon sur nefidinda reto por igi la teston pli drama. Tio ŝanĝas la sistemon, kiun vi mezuras, kaj lasas pruvojn, kiujn neniu povas ripeti.

Se via sola pruvo estas, ke ADB konektiĝis dum la VPN estis ŝaltita, vi mezuris la malĝustan vojon. Ripetu unue la teston je aplikaĵa nivelo; la respondo kutime venas tie.