L'icône VPN d'Android est allumée, alors pourquoi le trafic ne passe-t-il pas par le tunnel ?

Votre clé VPN est dans la barre d'état, le navigateur charge une page, et l'adresse qu'un site web signale est toujours votre connexion domestique. Cette combinaison est normale sur Android, car l'icône dit qu'une application possède une interface réseau virtuelle, pas que votre trafic sort par un serveur distant. Une application de filtrage locale utilise le même mécanisme. Vérifiez ce que fait réellement le service avant de blâmer le fournisseur.

L'icône signifie qu'un service VPN possède l'interface

Le service VPN d'Android permet à une application de créer une interface virtuelle et de recevoir les paquets qui y sont routés. Ce qui se passe ensuite dépend entièrement de cette application : elle peut les transmettre à un serveur distant, les filtrer ou les abandonner. L'icône de clé signale qu'un service détient l'interface, pas où vont les paquets. C'est pourquoi une application de filtrage et un tunnel complet se ressemblent dans la barre d'état.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Un seul service VPN peut être actif à la fois par utilisateur ou profil, ce qui est un comportement documenté et non un bug. Quand une seconde application tente de se connecter, elle prend le dessus ou échoue, et le trafic de la première n'est plus traité. Si une application de filtrage quitte au moment où vous connectez un tunnel, cette concurrence en est la cause probable.

Profil natif ou VPN applicatif : ils ne sont pas interchangeables

Un profil IKEv2 fourni par la plateforme et une application qui implémente OpenVPN ou WireGuard sont des produits différents avec des menus différents. L'API de la plateforme pour IKEv2 existe depuis une version précise d'Android, et les versions des fabricants n'exposent pas toutes les mêmes options au même endroit. Une capture d'écran d'un autre téléphone n'est pas un document de compatibilité.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Associez le protocole au client qui le prend en charge et obtenez le profil par le canal vérifié du fournisseur plutôt que de le coller dans un formulaire sans rapport. Une adresse de point de terminaison indique où se connecter, pas quelle application sait parler le protocole. Traitez les profils exportés et les codes QR comme des identifiants, car une image QR peut contenir la clé complète. Si le profil a été émis pour un autre client, réémettez-le au lieu de le convertir.

Les règles par application et les profils de travail changent la portée

Android prend en charge les configurations VPN par application, si bien qu'un navigateur peut être hors du tunnel pendant qu'une application de messagerie y est. Les profils personnel et professionnel sont des contextes distincts avec leur propre service actif. Vérifier l'adresse depuis la mauvaise application est l'une des conclusions fausses les plus courantes dans ce domaine.

Regardez les listes d'inclusion et d'exclusion, puis testez avec l'application qui vous importe vraiment. Le tunnel du profil professionnel ne couvre pas les applications personnelles, et un tunnel personnel ne couvre pas les applications professionnelles. La même séparation explique pourquoi une ressource d'entreprise fonctionne dans un profil et échoue dans un autre sans différence visible de configuration. Notez le contexte du profil dans le ticket, car il change même les réglages qui s'appliquent.

Arrêtez si l'application que vous testez n'est pas dans la portée du tunnel. C'est un choix de politique, pas une panne.

Testez ce qui a réellement quitté le téléphone

Testez des destinations publiques et privées, les deux familles d'adresses et les deux réseaux d'accès. Comparez ensuite le résultat avec la portée propre de l'application, car un chargement de page réussi dans une application ne dit rien de l'autre. Répétez après un passage du Wi-Fi aux données mobiles, car une reconnexion peut aboutir sur un autre chemin.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Le VPN toujours actif et l'option qui bloque les connexions sans VPN sont liés mais distincts, et un blocage strict peut casser la connexion au portail captif jusqu'à ce que vous suiviez la procédure documentée. Les réglages de Private DNS peuvent aussi interagir avec le résolveur du profil, donc remplacer aveuglément le DNS d'une organisation crée une nouvelle panne. Si le tunnel meurt quand l'écran se verrouille, lisez le guide pour développeurs VPN sur l'exécution en arrière-plan et l'optimisation de la batterie avant de réinstaller quoi que ce soit.

Le symptôme à garder en tête est l'écart entre l'icône et le chemin. La clé signifie qu'un service possède l'interface ; seul un test depuis l'application prévue sur le réseau prévu dit où est allé le trafic. Vérifiez les deux, et le prochain rapport de VPN cassé sera bien plus facile à situer.