La notifica VPN di Android mostra un indirizzo privato: cosa significa

Abbassi il pannello delle notifiche, tocchi la notifica VPN persistente e compare qualcosa come 10.13.0.42/30 accanto a uno stato connesso. Quel numero è l’indirizzo che l’app ha assegnato alla propria interfaccia virtuale sul telefono, quindi descrive un oggetto di rete locale, non il server che hai raggiunto né l’indirizzo che un sito registrerà. Niente di tutto ciò è segreto, e niente dimostra che il tuo traffico sia coperto. L’ordine che segue è quello che uso per capire cosa dice davvero una notifica, dal telefono in mano fino a un controllo reale dell’indirizzo.

Parti dalla notifica, non da una casella di ricerca

Un client Android moderno di solito mostra due cose diverse nello stesso pannello: uno stato di connessione e un blocco di indirizzi. Lo stato dice che il tunnel è attivo. Il blocco di indirizzi dice cosa ha configurato l’app sul lato telefono di quel tunnel, e i client lo stampano perché è la prova più semplice che hanno dell’esistenza dell’interfaccia.

Tieni premuta la notifica e apri la pagina delle informazioni dell’app prima di fare qualsiasi altra cosa. Annota il nome del pacchetto e osserva se l’app sta nel profilo personale o in un profilo di lavoro. Due client VPN con icone simili possono convivere sullo stesso dispositivo, e il pannello non sempre nomina quello che supponi. Se l’icona non ti è familiare, quella è la scoperta, e l’indirizzo è una distrazione.

Esistono tre indirizzi nello stesso momento

Il telefono ha un indirizzo Wi-Fi o mobile, l’app ha un indirizzo sulla sua interfaccia tunnel e un gateway remoto ha l’indirizzo sorgente pubblico che vede il mondo esterno. Sono tre assegnazioni separate, e nessuna può essere ricavata dalle altre due.

L’indirizzo del tunnel nella notifica è quasi sempre privato. 10.13.0.42 si trova dentro 10.0.0.0/8, uno degli intervalli riservati da RFC 1918, quindi qualsiasi fornitore può distribuire lo stesso numero. Vederlo ti dice che l’app ha usato un pool privato, non dove quel pool è ospitato. Due telefoni in continenti diversi possono riportare lo stesso valore.

Questo riutilizzo è il motivo per cui l’indirizzo non può fungere da impronta. Un secondo fornitore può usare lo stesso blocco, perché nulla coordina i pool tra aziende. I fornitori li scelgono per abitudine e per ciò che la loro configurazione del gateway già si aspetta.

Leggi /30 come prefisso, non come conteggio

Il numero dopo la barra è la lunghezza del prefisso. Qui /30 significa trenta bit di prefisso di rete, che lascia due bit per gli host, quindi il blocco copre da 10.13.0.40 a 10.13.0.43. Non sono trenta dispositivi, e non è un server a trenta salti di distanza.

I prefissi piccoli come questo sono comuni sui collegamenti tunnel punto a punto: un indirizzo utilizzabile per il telefono, uno per l’estremità remota. Se l’app mantenga davvero questa disposizione è una proprietà della sua configurazione. Tratta il prefisso come un indizio su come è stata progettata l’app, non come una mappa della rete del fornitore.

Conferma il tunnel dal telefono

Impostazioni, poi Rete e internet, poi VPN elenca il profilo attivo e l’app che lo possiede. Quella schermata è autorevole su quale client è connesso. La notifica ne è solo un riassunto. Quando le due cose non concordano, fidati della schermata delle impostazioni e considera la notifica obsoleta.

Se stai costruendo un’integrazione diagnostica autorizzata, l’oggetto Network selezionato espone gli indirizzi di collegamento e un nome di interfaccia tramite LinkProperties. Annota il profilo e la rete su cui hai campionato, perché un’istantanea presa sulla rete sbagliata risponde a una domanda che nessuno ha posto.

L’accesso via shell è meno affidabile di quanto la gente si aspetti. I nomi delle interfacce variano per versione e produttore. Un filtro che corrisponde solo a una riga IPv4 che contiene tun salterà silenziosamente le assegnazioni IPv6 e qualsiasi client che chiami la propria interfaccia in un altro modo. Leggi l’elenco completo prima di restringerlo.

Guarda cosa vede un sito dall’app che ti interessa

Carica un verificatore di indirizzi pubblico nel browser, poi ripeti il controllo dentro l’app che vuoi davvero proteggere. Se entrambi riportano lo stesso indirizzo di origine, il tunnel li trasporta entrambi. Se differiscono, è in gioco l’instradamento per app o il tunneling diviso.

Due configurazioni producono una notifica sana senza alcuna uscita remota. Un’app di filtraggio locale può creare un’interfaccia tunnel per ispezionare il DNS o bloccare gli annunci senza alcun server. Una VPN solo privata può essere costruita per raggiungere una rete domestica mentre la navigazione ordinaria resta diretta. In entrambi i casi l’indirizzo nel pannello è reale e la copertura che supponevi non lo è.

Decidi se la notifica merita un secondo sguardo

Una notifica VPN inattesa merita di essere indagata come app installata, non come indirizzo. Controlla il proprietario del profilo, le autorizzazioni di amministratore del dispositivo e tutto ciò che è stato aggiunto dall’ultima volta che hai esaminato quell’elenco. Revoca ciò che non riesci a spiegare, poi osserva di nuovo il pannello. Se la notifica torna con un profilo che riconosci, hai la risposta. Se torna senza, qualcos’altro sta avviando l’app.

Poi chiudi il cerchio: app proprietaria, profilo attivo, indirizzo di origine dall’app che ti interessa, percorso atteso. Se tutti e quattro coincidono, il numero nella notifica è solo contabilità e nulla di più.