La notification VPN d’Android affiche une adresse privée : ce que cela signifie

Vous abaissez le volet des notifications, vous touchez la notification VPN persistante, et elle affiche quelque chose comme 10.13.0.42/30 à côté d’un état connecté. Ce nombre est l’adresse que l’application a attribuée à sa propre interface virtuelle sur votre téléphone ; il décrit donc un objet réseau local, pas le serveur que vous avez joint ni l’adresse qu’un site web enregistrera. Rien là-dedans n’est secret, et rien ne prouve que votre trafic est couvert. L’ordre ci-dessous est celui que j’utilise pour déterminer ce qu’une notification dit réellement, en partant du téléphone dans ma main et en terminant par une vraie vérification d’adresse.

Commencez par la notification, pas par un champ de recherche

Un client Android moderne affiche généralement deux choses différentes dans le même panneau : un état de connexion et un bloc d’adresse. L’état indique que le tunnel est monté. Le bloc d’adresse indique ce que l’application a configuré du côté téléphone de ce tunnel, et les clients l’affichent parce que c’est la preuve la plus simple dont ils disposent que l’interface existe.

Appuyez longuement sur la notification et ouvrez la page d’informations de l’application avant toute autre chose. Notez le nom du paquet, et notez si l’application se trouve dans votre profil personnel ou dans un profil professionnel. Deux clients VPN aux icônes similaires peuvent cohabiter sur un même appareil, et le volet ne nomme pas toujours celui que vous supposez. Si l’icône n’est pas familière, c’est cela, la découverte, et l’adresse est une distraction.

Trois adresses existent en même temps

Votre téléphone possède une adresse Wi-Fi ou mobile, l’application possède une adresse sur son interface tunnel, et une passerelle distante possède l’adresse source publique que voit le monde extérieur. Ce sont trois attributions distinctes, et aucune ne peut être déduite des deux autres.

L’adresse du tunnel dans la notification est presque toujours privée. 10.13.0.42 se trouve à l’intérieur de 10.0.0.0/8, l’une des plages réservées par RFC 1918, donc n’importe quel fournisseur peut distribuer ce même nombre. La voir vous dit que l’application a utilisé un pool privé, pas où ce pool est hébergé. Deux téléphones sur des continents différents peuvent rapporter la même valeur.

Cette réutilisation est la raison pour laquelle l’adresse ne peut pas servir d’empreinte. Un second fournisseur peut utiliser le même bloc, car rien ne coordonne les pools entre entreprises. Les fournisseurs les choisissent par habitude et selon ce que leur configuration de passerelle attend déjà.

Lisez /30 comme un préfixe, pas comme un décompte

Le nombre après la barre oblique est la longueur du préfixe. Ici /30 signifie trente bits de préfixe réseau, ce qui laisse deux bits pour les hôtes, donc le bloc couvre 10.13.0.40 à 10.13.0.43. Ce ne sont pas trente appareils, et ce n’est pas un serveur à trente sauts.

Les petits préfixes comme celui-ci sont courants sur les liaisons tunnel point à point : une adresse utilisable pour le téléphone, une pour l’extrémité distante. Que l’application conserve réellement cette disposition est une propriété de sa configuration. Traitez le préfixe comme un indice sur la façon dont l’application a été conçue, pas comme une carte du réseau du fournisseur.

Confirmez le tunnel depuis le téléphone

Paramètres, puis Réseau et Internet, puis VPN liste le profil actif et l’application qui le possède. Cet écran fait autorité sur le client connecté. La notification n’en est qu’un résumé. Quand les deux divergent, faites confiance à l’écran des paramètres et considérez la notification comme périmée.

Si vous construisez une intégration de diagnostic autorisée, l’objet Network sélectionné expose les adresses de liaison et un nom d’interface via LinkProperties. Notez le profil et le réseau sur lequel vous avez échantillonné, car un instantané pris sur le mauvais réseau répond à une question que personne n’a posée.

L’accès par shell est moins fiable qu’on ne l’attend. Les noms d’interface varient selon la version et le fabricant. Un filtre qui ne correspond qu’à une ligne IPv4 contenant tun ignorera silencieusement les attributions IPv6 et tout client qui nomme son interface autrement. Lisez la liste complète avant de la restreindre.

Regardez ce qu’un site voit depuis l’application qui vous importe

Chargez un vérificateur d’adresse public dans le navigateur, puis répétez la vérification dans l’application que vous voulez réellement protéger. Si les deux rapportent la même adresse source, le tunnel transporte les deux. Si elles diffèrent, un routage par application ou un tunnel divisé est en jeu.

Deux configurations produisent une notification saine sans aucune sortie distante. Une application de filtrage locale peut créer une interface tunnel pour inspecter le DNS ou bloquer les publicités sans aucun serveur. Un VPN uniquement privé peut être construit pour joindre un réseau domestique tandis que la navigation ordinaire reste directe. Dans les deux cas, l’adresse du volet est réelle et la couverture que vous supposiez ne l’est pas.

Décidez si la notification mérite un second regard

Une notification VPN inattendue mérite une enquête en tant qu’application installée, pas en tant qu’adresse. Vérifiez le propriétaire du profil, les autorisations d’administrateur de l’appareil et tout ce qui a été ajouté depuis votre dernière revue de cette liste. Révoquez ce que vous ne pouvez pas expliquer, puis surveillez à nouveau le volet. Si la notification revient avec un profil que vous reconnaissez, vous avez votre réponse. Si elle revient sans, autre chose lance l’application.

Refermez ensuite la boucle : application propriétaire, profil actif, adresse source depuis l’application qui vous importe, route attendue. Si les quatre concordent, le nombre de la notification n’est que de la comptabilité, rien de plus.