Android の VPN 通知に表示されるプライベートアドレスとは何か

通知パネルを下ろし、常駐している VPN 通知をタップすると、接続状態の横に 10.13.0.42/30 のような表示が出ます。この数字は、アプリが端末上の自分自身の仮想インターフェースに割り当てたアドレスです。つまり、到達したサーバーやサイトが記録するアドレスではなく、一つのローカルなネットワーク上の対象を表しています。秘密の情報ではなく、通信が保護されている証拠でもありません。以下の手順は、手元の端末から実際のアドレス確認まで、通知が何を伝えているのかを私が確かめる順番です。

検索欄ではなく、通知から始める

最近の Android クライアントは、同じパネルに二つの異なる情報を出します。接続状態とアドレスのブロックです。状態はトンネルが上がっていることを示します。アドレスのブロックは、アプリがトンネルの端末側に設定した内容を示しており、インターフェースが存在する最も簡単な証拠として表示されます。

ほかのことをする前に、通知を長押ししてアプリの情報ページを開きます。パッケージ名を控え、アプリが個人プロファイルにあるのか仕事用プロファイルにあるのかを確認します。似たアイコンの VPN クライアントが同じ端末に同居することがあり、通知パネルは思い込んでいる方を必ずしも示しません。見覚えのないアイコンなら、それ自体が発見であり、アドレスは注意をそらすものです。

三つのアドレスが同時に存在する

端末には Wi-Fi またはモバイルのアドレスがあり、アプリはトンネルインターフェース上にアドレスを持ち、どこかの遠隔ゲートウェイは外の世界から見える公開の送信元アドレスを持っています。これは三つの別々の割り当てで、どれも他の二つから導くことはできません。

通知のトンネルアドレスはほぼ常にプライベートです。10.13.0.42 は 10.0.0.0/8 の内側にあり、これは RFC 1918 が予約した範囲の一つです、どの事業者も同じ番号を配布できます。これを見ても分かるのは、アプリがプライベートなプールを使ったということで、そのプールがどこで運用されているかではありません。別の大陸にある二台の端末が同じ値を報告することもあります。

この再利用があるため、アドレスは指紋にはなりません。二社目の事業者が同じブロックを使うことがあります。企業間でプールを調整する仕組みはないからです。事業者は習慣と、ゲートウェイ設定がすでに想定している内容から選んでいます。

/30 は人数ではなくプレフィックスとして読む

スラッシュの後の数字はプレフィックス長です。ここで /30 はネットワークプレフィックスの三十ビットを意味し、ホスト用に二ビットが残るため、ブロックは 10.13.0.40 から 10.13.0.43 までを覆います。端末三十台でもなく、三十ホップ先のサーバーでもありません。

このような小さなプレフィックスはポイントツーポイントのトンネルリンクでよく使われます。端末用に一つ、対向側に一つという使い方です。アプリが実際にその配置を保つかどうかは設定の性質です。プレフィックスはアプリの設計を示す手がかりとして扱い、事業者のネットワークの地図と考えないでください。

端末からトンネルを確認する

設定、次にネットワークとインターネット、次に VPN を開くと、有効なプロファイルとそれを所有するアプリが一覧になります。どのクライアントが接続しているかについて、この画面が正です。通知はその要約にすぎません。両者が食い違うときは設定画面を信じ、通知は古いものとして扱います。

許可された診断連携を作る場合、選択した Network オブジェクトが LinkProperties を通じてリンクアドレスとインターフェース名を公開します。サンプルを取ったプロファイルとネットワークを記録してください。誤ったネットワークで取ったスナップショットは、誰も尋ねていない問いに答えることになります。

シェル経由の確認は思ったより頼りになりません。インターフェース名はリリースやベンダーで変わります。tun を含む IPv4 行だけに一致するフィルターは、IPv6 の割り当てや別の名前を付けたクライアントを黙って見落とします。絞り込む前に一覧全体を読んでください。

気にしているアプリからサイトが何を見るか確かめる

ブラウザーで公開アドレス確認を開き、本当に守りたいアプリの中で同じ確認を繰り返します。両方が同じ送信元アドレスを報告すれば、トンネルは両方を運んでいます。違えば、アプリごとのルーティングや分割トンネリングが働いています。

遠隔の出口がまったくなくても、正常な通知になる設定が二つあります。ローカルのフィルタリングアプリは、サーバーなしで DNS を検査したり広告を遮断したりするためにトンネルインターフェースを作れます。プライベート専用の VPN は、通常の閲覧を直接のままにして自宅ネットワークへ届くよう作れます。どちらも通知パネルのアドレスは本物で、想定した保護は本物ではありません。

通知をもう一度見る価値があるか決める

予期しない VPN 通知は、アドレスとしてではなく、インストールされたアプリとして調べる価値があります。プロファイルの所有者、端末管理者の権限、前回その一覧を確認してから追加されたものを調べます。説明できないものは取り消し、もう一度パネルを観察します。見覚えのあるプロファイルとともに通知が戻れば答えは出ています。プロファイルなしで戻るなら、別の何かがアプリを起動しています。

最後に環を閉じます。所有アプリ、有効なプロファイル、気にしているアプリの送信元アドレス、想定される経路。四つが揃えば、通知の数字はただの記録であり、それ以上ではありません。