Miks juhtmevaba silumise liiklus ei tõenda VPN-i leket

Lülitasite sisse juhtmevaba silumise, ühendasite sülearvuti ja seanss jätkas töötamist, kui VPN oli sees. See näeb välja nii, nagu midagi oleks tunnelist mööda libisenud. Peaaegu kindlasti mitte. Silumisseanss ja rakenduse päring veebisaidile on erinevad võrgusuhted ning ainult üks neist peaks tunnelit ületama.

Olen selle vale tõlgendusega kokku puutunud kaks korda: üks kord, kui telefon ja sülearvuti olid samas Wi-Fi võrgus, ja üks kord pärast taaskäivitust, kui sidumine püsis. Mõlemal korral tegi VPN täpselt seda, milleks see oli seadistatud.

Nimetage tähelepanek enne, kui nimetate vea

Enne lekkeväidet võib juhtuda kolm sündmust ja need ei ole vahetatavad. Tööriist võib avastada teenuse, seade võib kinnitada tööjaama või volitatud seanss võib tegelikult kanda käske ja baite. Kirjutage üles, millist nägite, sest igaüks neist tõendab vähem, kui inimesed eeldavad.

Avastamine on tavaliselt mDNS või portide skaneerimine. Sidumine on telefonis tehtud registreerimisotsus, mida kinnitab kasutaja sisestatud kood. Reaalajas seanss tähendab, et liiklus liikus kahe seotud lõpp-punkti vahel. Miski sellest ei kirjelda, kuhu rakenduse HTTPS-päring läheb.

Hoidke sihtkoht, liides, aadressiperekond, ajatempel ja kasutajaprofiil sündmuse küljes. Ilma nende üksikasjadeta ei saa tähelepanekut võrrelda kavandatud kohaliku võrgu poliitikaga ega toona töötanud VPN-i versiooniga.

Miks need kaks teed kunagi ei kohtu

Juhtmevaba silumine on seadmesse suunduv sissetulev ühendus. adbd kuulab pordil, mis on seotud Wi-Fi-liidesega, ja tööjaam ühendub sellega pärast sidumist. Suund on oluline: teie sülearvuti ulatub telefoni, mitte vastupidi. See on väljundlekke vastand.

Rakenduse internetiliiklus väljub tunneliliidesest, mille paigaldab VpnService, sobitatuna UID-i ja marsruutimisreeglite järgi. adbd on süsteemideemon, mis töötab kasutajana shell, mitte rakendus selles marsruutimiskomplektis. See jääb aluseks olevale Wi-Fi-lülile isegi siis, kui iga rakendus on tunneli külge kinnitatud.

Lukustusrežiim rakendab tunnelit hõlmatud rakenduste jaoks. See ei muuda kuulavat pesa väljundteeks.

Seetõttu eksisteerivad töötav ADB-seanss ja töötav hädaseiskamislüliti vastuoluta koos. Lekke tõestamiseks peate jälgima suunda, mis peaks olema blokeeritud.

Kuidas väljundtest tegelikult välja näeb

Testige hõlmatud rakendust, mitte silumiskanalit. Seadistage tõrketingimus teadlikult, seejärel tehke üks värske päring ja registreerige, mis juhtus.

1. Kinnitage, et VPN on ainus tee: lülitage sisse alati sisse lülitatud VPN koos valikuga blokeeri ühendused ilma VPN-ita.
2. Peatage VPN toetatud viisil ja kinnitage, et rakendus teatab ühenduse puudumisest.
3. Saatke sellest rakendusest üks kahjutu päring ja märkige, kas see ebaõnnestub või õnnestub.
4. Korrake juhtmevaba silumisega sees ja seejärel väljas, et muutuja isoleerida.

Blokeeritud päring nendel tingimustel on tõend. Edukas ADB-seanss ei ole, ja ükski ping terminalirakendusest samuti mitte.

Kui päring siiski õnnestub, kui lukustus on sees, registreerige rakenduse UID ja selle VPN-luba, aktiivne võrk ja kliendi versioon. See kombinatsioon on tõeline leid.

Sidumine elab seansist kauem

Sidumine on püsiv olek, mitte käepigistus, mille võite pärast kaablitesti unustada. Androidi silumisdokumentatsioon kirjeldab juhtmevaba töövoogu ja märgib, et suhe kestab, kuni see selgesõnaliselt unustatakse või load tühistatakse.

Kontrollige, mis on veel volitatud, enne kui tunnelit süüdistate. Avage Juhtmevaba silumine, vaadake seotud seadmeid ja unustage kõik, mida enam ei tunne. Käivitage tööjaamast adb devices, et näha, millised kirjed veel vastavad, ja adb disconnect, et aegunud kirje eemaldada. Juhtmevaba silumise väljalülitamine sulgeb kuulava pordi täielikult.

Jagatud või usaldusväärsel mitteolevas võrgus jätke see välja. Püsiv volitus võrgus, mida te ei kontrolli, on suurem probleem kui hüpoteetiline TUN-i möödaminek.

Enne selle vea teatamist

Kasulik aruanne nimetab täpse piiri, mis ebaõnnestus. Lisage seadme mudel ja Androidi versioon, VPN-klient ja selle versioon, kas lukustus oli sisse lülitatud, rakenduse pakett ja UID ning võrk, milles telefon oli. Lisage käsk või päring, mis tähelepaneku tekitas, ja aeg, millal see juhtus. Ilma selleta ei saa keegi piiri taastada, mille te väidate olevat katki.

Ärge lülitage jõustamist välja ega paljastage silumist usaldusväärsel mitteolevas võrgus, et test paistaks dramaatilisem. See muudab süsteemi, mida te mõõdate, ja jätab tõendeid, mida keegi korrata ei saa.

Kui teie ainus tõend on see, et ADB ühendus loodi VPN-i ajal, siis mõõtsite vale teed. Käivitage esmalt uuesti rakenduse tasemel test; vastus saabub tavaliselt seal.