התראת VPN באנדרואיד מציגה כתובת פרטית: מה זה אומר

אתם מורידים את מסך ההתראות, מקישים על התראה קבועה של VPN, והיא מציגה משהו כמו 10.13.0.42/30 לצד מצב מחובר. המספר הזה הוא הכתובת שהאפליקציה הקצתה לממשק הווירטואלי שלה בטלפון, ולכן הוא מתאר אובייקט רשת מקומי אחד, לא את השרת שאליו הגעתם ולא את הכתובת שאתר כלשהו ירשום. שום דבר בו אינו סודי, ושום דבר בו לא מוכיח שהתעבורה שלכם מכוסה. הסדר שלהלן הוא מה שאני משתמש בו כדי להבין מה התראה באמת אומרת, מהטלפון ביד ועד לבדיקת כתובת אמיתית.

מתחילים מההתראה, לא מתיבת חיפוש

לקוח אנדרואיד מודרני מציג בדרך כלל שני דברים שונים באותו חלון: מצב חיבור ובלוק כתובת. המצב אומר שהמנהרה פעילה. בלוק הכתובת אומר מה האפליקציה הגדירה בצד הטלפון של המנהרה, והלקוחות מציגים אותו משום שזו ההוכחה הפשוטה ביותר שיש להם שהממשק קיים.

לחצו לחיצה ארוכה על ההתראה ופתחו את עמוד המידע של האפליקציה לפני כל דבר אחר. רשמו את שם החבילה, ובדקו אם האפליקציה נמצאת בפרופיל האישי שלכם או בפרופיל עבודה. שני לקוחות VPN עם סמלים דומים יכולים לחיות במכשיר אחד, וההתראה לא תמיד נוקבת בשם זה שאתם מניחים. אם הסמל אינו מוכר, זו הממצא, והכתובת היא הסחת דעת.

שלוש כתובות קיימות בו-זמנית

לטלפון שלכם יש כתובת Wi-Fi או סלולרית, לאפליקציה יש כתובת על ממשק המנהרה שלה, ולשער מרוחק כלשהו יש את כתובת המקור הציבורית שהעולם החיצון רואה. אלו שלוש הקצאות נפרדות, ואף אחת מהן אינה נגזרת מהשתיים האחרות.

כתובת המנהרה בהתראה היא כמעט תמיד פרטית. 10.13.0.42 נמצאת בתוך 10.0.0.0/8, אחד מהטווחים השמורים על ידי RFC 1918, ולכן כל ספק רשאי לחלק את אותו מספר. לראות אותה אומר שהאפליקציה השתמשה במאגר פרטי, לא היכן מתארח המאגר הזה. שני טלפונים ביבשות שונות יכולים לדווח על אותו ערך.

השימוש החוזר הזה הוא הסיבה שהכתובת אינה יכולה לשמש טביעת אצבע. ספק שני יכול להשתמש באותו בלוק, כי שום דבר לא מתאם את המאגרים בין חברות. הספקים בוחרים אותם מתוך הרגל ומתוך מה שתצורת השער שלהם כבר מצפה לו.

קוראים את ‎/30 כקידומת, לא כמניין

המספר שאחרי הלוכסן הוא אורך הקידומת. כאן /30 פירושו שלושים סיביות של קידומת רשת, מה שמשאיר שתי סיביות למארחים, ולכן הבלוק מכסה 10.13.0.40 עד 10.13.0.43. אלו לא שלושים מכשירים, וזה לא שרת במרחק שלושים קפיצות.

קידומות קטנות כאלה נפוצות בקישורי מנהרה מנקודה לנקודה: כתובת שמישה אחת לטלפון ואחת לקצה המרוחק. אם האפליקציה באמת שומרת על הפריסה הזו זו תכונה של התצורה שלה. התייחסו לקידומת כרמז לאופן שבו תוכננה האפליקציה, לא כמפה של רשת הספק.

מאשרים את המנהרה מהטלפון

הגדרות, אחר כך רשת ואינטרנט, אחר כך VPN מפרטים את הפרופיל הפעיל ואת האפליקציה שבבעלותו. המסך הזה הוא הסמכות לגבי איזה לקוח מחובר. ההתראה היא רק תקציר שלו. כשאלה חולקים, סמכו על מסך ההגדרות והתייחסו להתראה כמיושנת.

אם אתם בונים אינטגרציית אבחון מורשית, אובייקט Network הנבחר חושף כתובות קישור ושם ממשק דרך LinkProperties. רשמו את הפרופיל ואת הרשת שממנה דגמתם, כי צילום מצב ברשת הלא נכונה עונה על שאלה שאף אחד לא שאל.

גישה דרך shell פחות אמינה ממה שאנשים מצפים. שמות ממשקים משתנים לפי גרסה ויצרן. מסנן שמתאים רק לשורת IPv4 המכילה tun יפסח בשקט על הקצאות IPv6 ועל כל לקוח שקורא לממשק שלו בשם אחר. קראו את הרשימה המלאה לפני שאתם מצמצמים אותה.

בודקים מה אתר רואה מהאפליקציה שחשובה לכם

טענו בודק כתובות ציבורי בדפדפן, ואז חזרו על הבדיקה בתוך האפליקציה שאתם באמת רוצים להגן עליה. אם שניהם מדווחים על אותה כתובת מקור, המנהרה נושאת את שניהם. אם הם שונים, יש ניתוב לפי אפליקציה או מנהרה מפוצלת.

שתי תצורות מייצרות התראה תקינה בלי שום יציאה מרוחקת. אפליקציית סינון מקומית יכולה ליצור ממשק מנהרה כדי לבדוק DNS או לחסום פרסומות בלי שום שרת. VPN פרטי בלבד יכול להיבנות כדי להגיע לרשת ביתית בעוד גלישה רגילה נשארת ישירה. בשני המקרים הכתובת במסך אמיתית, והכיסוי שהנחתם אינו.

מחליטים אם ההתראה ראויה למבט שני

התראת VPN לא צפויה שווה חקירה כאפליקציה מותקנת, לא ככתובת. בדקו את בעל הפרופיל, את הרשאות מנהל המכשיר ואת כל מה שנוסף מאז שסקרתם את הרשימה בפעם האחרונה. בטלו את מה שאינכם יכולים להסביר, ואז שוב הביטו במסך. אם ההתראה חוזרת עם פרופיל שאתם מזהים, יש לכם תשובה. אם היא חוזרת בלי אחד כזה, משהו אחר מפעיל את האפליקציה.

אחר כך סגרו את המעגל: אפליקציית הבעלים, הפרופיל הפעיל, כתובת המקור מהאפליקציה שחשובה לכם והמסלול הצפוי. אם כל ארבעתם תואמים, המספר בהתראה הוא רק הנהלת חשבונות ולא יותר.