סמל ה-VPN באנדרואיד דולק, אז למה התעבורה לא עוברת במנהרה?

מפתח ה-VPN נמצא בשורת המצב, הדפדפן טוען דף, והכתובת שאתר מדווח עליה היא עדיין חיבור הבית שלכם. השילוב הזה רגיל באנדרואיד, כי הסמל אומר שאפליקציה מחזיקה ממשק רשת וירטואלי, לא שהתעבורה שלכם יוצאת דרך שרת מרוחק. אפליקציית סינון מקומית משתמשת באותו אמצעי. בדקו מה השירות באמת עושה לפני שאתם מאשימים את הספק.

הסמל אומר ששירות VPN מחזיק בממשק

שירות ה-VPN של אנדרואיד מאפשר לאפליקציה ליצור ממשק וירטואלי ולקבל את החבילות שמנותבות אליו. מה קורה אחר כך תלוי כולו באפליקציה הזו: היא יכולה להעביר אותן לשרת מרוחק, לסנן אותן או להפיל אותן. סמל המפתח מדווח ששירות מחזיק בממשק, לא לאן החבילות הולכות. לכן אפליקציית סינון ומנהרה מלאה נראות זהות בשורת המצב.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

רק שירות VPN אחד יכול להיות פעיל לכל משתמש או פרופיל בו-זמנית, וזו התנהגות מתועדת ולא תקלה. כשאפליקציה שנייה מנסה להתחבר, היא משתלטת או נכשלת, והתעבורה של הראשונה מפסיקה להיות מטופלת. אם אפליקציית סינון נסגרת ברגע שאתם מחברים מנהרה, התחרות הזו היא הסיבה הסבירה.

פרופיל מקורי או VPN של אפליקציה: הם אינם ברי החלפה

פרופיל IKEv2 שמספקת הפלטפורמה ואפליקציה שמיישמת OpenVPN או WireGuard הם מוצרים שונים עם תפריטים שונים. ה-API של הפלטפורמה ל-IKEv2 קיים מגרסת אנדרואיד מסוימת, ובנייה של יצרנים לא כולם מציגים את אותן אפשרויות באותו מקום. צילום מסך מטלפון אחר אינו מסמך תאימות.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

התאימו את הפרוטוקול ללקוח שתומך בו, והשיגו את הפרופיל דרך הערוץ המאומת של הספק במקום להדביק אותו בטופס לא קשור. כתובת נקודת הקצה אומרת היכן להתחבר, לא איזו אפליקציה יודעת לדבר את הפרוטוקול. התייחסו לפרופילים מיוצאים ולקודי QR כאל אישורים, כי תמונת QR עשויה להכיל את המפתח כולו. אם הפרופיל הונפק ללקוח אחר, הנפיקו אותו מחדש במקום להמיר אותו.

כללים לפי אפליקציה ופרופילי עבודה משנים את ההיקף

אנדרואיד תומך בתצורות VPN לפי אפליקציה, כך שדפדפן יכול להיות מחוץ למנהרה בעוד אפליקציית דואר נמצאת בפנים. פרופיל אישי ופרופיל עבודה הם הקשרים נפרדים עם השירות הפעיל שלהם. בדיקת הכתובת מהאפליקציה הלא נכונה היא אחת המסקנות השגויות הנפוצות בתחום הזה.

הביטו ברשימות ההכללה וההחרגה, ואז בדקו עם האפליקציה שבאמת חשובה לכם. מנהרת פרופיל עבודה אינה מכסה אפליקציות אישיות, ומנהרה אישית אינה מכסה אפליקציות עבודה. אותה הפרדה מסבירה למה משאב ארגוני עובד בפרופיל אחד ונכשל באחר בלי שום הבדל תצורה גלוי. רשמו את הקשר הפרופיל בכרטיס, כי הוא משנה אפילו אילו הגדרות חלות.

עצרו אם האפליקציה שאתם בודקים אינה בהיקף המנהרה. זו בחירת מדיניות, לא תקלה.

בדקו מה באמת יצא מהטלפון

בדקו יעדים ציבוריים ופרטיים, את שתי משפחות הכתובות ואת שתי רשתות הגישה. אחר כך השוו את התוצאה להיקף של האפליקציה עצמה, כי טעינת דף מוצלחת באפליקציה אחת לא אומרת דבר על השנייה. חזרו על כך אחרי מעבר מ-Wi-Fi לנתונים סלולריים, כי התחברות מחדש עשויה לנחות על נתיב אחר.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN והאפשרות שחוסמת חיבורים בלי VPN קשורים אך שונים, וחסימה קפדנית עלולה לשבור התחברות בפורטל שבויים עד שתעקבו אחר הנוהל המתועד. הגדרות Private DNS יכולות גם הן לתקשר עם הפותר של הפרופיל, ולכן החלפה עיוורת של ה-DNS של ארגון יוצרת תקלה חדשה. אם המנהרה מתה כשהמסך ננעל, קראו את מדריך המפתחים של VPN על הרצה ברקע ואופטימיזציית סוללה לפני שמתקינים מחדש משהו.

התסמין שצריך לשמור לנגד עיניים הוא הפער בין הסמל לנתיב. המפתח אומר ששירות מחזיק בממשק; רק בדיקה מהאפליקציה המיועדת ברשת המיועדת אומרת לאן התעבורה הלכה. בדקו את שניהם, והדיווח הבא על VPN מקולקל יהיה הרבה יותר קל למקם.