A icona de VPN de Android está activa, pero por que o tráfico non pasa polo túnel?

A túa chave de VPN está na barra de estado, o navegador carga unha páxina e o enderezo que informa un sitio web segue a ser a túa conexión da casa. Esa combinación é normal en Android, porque a icona di que unha aplicación posúe unha interface de rede virtual, non que o teu tráfico saia por un servidor remoto. Unha aplicación local de filtrado usa o mesmo recurso. Comproba que fai realmente o servizo antes de culpar o provedor.

A icona significa que un servizo de VPN posúe a interface

O servizo de VPN de Android permite que unha aplicación cree unha interface virtual e reciba os paquetes que se encamiñan cara a ela. O que ocorra despois depende por completo desa aplicación: pode reenvialos a un servidor remoto, filtralos ou descartalos. A icona da chave informa de que un servizo ten a interface, non de onde van os paquetes. Por iso unha aplicación de filtrado e un túnel completo vense iguais na barra de estado.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Só un servizo de VPN pode estar activo á vez por usuario ou perfil, o cal é un comportamento documentado e non un erro. Cando unha segunda aplicación tenta conectarse, ou toma o control ou falla, e o tráfico da primeira deixa de xestionarse. Se unha aplicación de filtrado se pecha no momento en que conectas un túnel, esa competencia é o motivo probable.

Perfil nativo ou VPN de aplicación: non son intercambiables

Un perfil IKEv2 proporcionado pola plataforma e unha aplicación que implementa OpenVPN ou WireGuard son produtos distintos con menús distintos. A API da plataforma para IKEv2 existe desde unha versión concreta de Android, e as compilacións dos fabricantes non expoñen todas as mesmas opcións no mesmo lugar. Unha captura de pantalla doutro teléfono non é un documento de compatibilidade.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Emparella o protocolo co cliente que o admite e obtén o perfil pola canle verificada do provedor en lugar de pegalo nun formulario alleo. Un enderezo de punto final di onde conectarse, non que aplicación pode falar o protocolo. Trata os perfís exportados e os códigos QR como credenciais, porque unha imaxe QR pode conter a chave completa. Se o perfil se emitiu para outro cliente, volve emitilo en vez de convertelo.

As regras por aplicación e os perfís de traballo cambian o alcance

Android admite configuracións de VPN por aplicación, así que un navegador pode quedar fóra do túnel mentres unha aplicación de correo está dentro. Os perfís persoal e de traballo son contextos separados co seu propio servizo activo. Comprobar o enderezo desde a aplicación equivocada é unha das conclusións falsas máis habituais neste ámbito.

Mira as listas de inclusión e exclusión e despois proba coa aplicación que de verdade che importa. O túnel do perfil de traballo non cobre as aplicacións persoais, e o túnel persoal non cobre as aplicacións de traballo. Esa mesma separación explica por que un recurso corporativo funciona nun perfil e falla noutro sen ningunha diferenza visible de configuración. Anota o contexto do perfil no tícket, porque cambia mesmo que axustes se aplican.

Détente se a aplicación que probas non está dentro do alcance do túnel. É unha decisión de política, non unha avaría.

Proba que saíu realmente do teléfono

Proba destinos públicos e privados, as dúas familias de enderezos e as dúas redes de acceso. Despois compara o resultado co alcance propio da aplicación, porque unha páxina cargada con éxito nunha aplicación non di nada da outra. Repíteo tras cambiar de Wi-Fi a datos móbiles, xa que unha reconexión pode aterrar noutra ruta.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN e a opción que bloquea as conexións sen VPN están relacionados pero son distintos, e un bloqueo estrito pode romper o inicio de sesión no portal cativo ata que sigas o procedemento documentado. Os axustes de Private DNS tamén poden interactuar co resolutor do perfil, así que substituír o DNS dunha organización a cegas crea un fallo novo. Se o túnel morre ao bloquearse a pantalla, le a guía para desenvolvedores de VPN sobre execución en segundo plano e optimización da batería antes de reinstalar nada.

O síntoma que hai que reter é a fenda entre a icona e a ruta. A chave significa que un servizo posúe a interface; só unha proba desde a aplicación prevista na rede prevista di onde foi o tráfico. Comproba as dúas cousas e o próximo informe dunha VPN rota será moito máis fácil de situar.