Android-Pushmatricen funktionéieren net mat enger VPN? Préift dëst
FCM hält seng eege Verbindung no baussen op de Porten 5228-5230. Préift d'Proxy-Regel, den NAT-Timeout an de VPN-Bypass, ier Dir d'Notifikatiounsastellungen ugitt.
D'Notifikatioune kommen net méi op engem Telefon un, deen soss gutt iwwer d'Firmen-VPN surft. Web-Säite lueden, d'App geet op, an d'Noriichten erschéngen nëmmen doheem oder nodeems den Tunnel ausgeschalt gouf. An enger App op Basis vu Firebase Cloud Messaging ass de Push-Kanal eng separat, laanglieweg Verbindung no baussen, net dee HTTPS-Wee, deen de Browser just bewisen huet. Schafft dës Kontrollen an der Rei duerch a stoppt bei der éischter, déi feelt.
Bestätegt, datt d'App wierklech FCM benotzt
Net all Notifikatioun ass e Push. Einzel ginn duerch d'App lokal geplangt, anerer iwwer HTTPS ofgeruff, an nach anerer kommen iwwer e Fournisseur-Kanal, deen näischt mat Firebase ze dinn huet. Wann dem App säi Manifest an d'Ofhängegkeeten Firebase Messaging enthalen, ginn seng Notifikatiounen normalerweis iwwer d'FCM-Verbindung, an d'Clientbibliothéik logt d'Registréierung ënner engem viraussobarem Tag.
adb logcat -s FirebaseMessaging:V
adb shell dumpsys package <package> | grep -i firebaseE Registréierungs-Token am Log bestätegt den Transport. Ouni een debugg Dir eng Notifikatiouns-Pipeline op App-Niveau, a Firewall-Ännerunge wäerten net hëllefen. Dësen Ënnerscheed ass wichteg, well eng Noriicht, déi geliwwert awer ni gewise gëtt, an eng Noriicht, déi ni ukommt, fir de Benotzer gläich ausgesinn.
Préift déi no baussen geriichte Porten, net d'Websäit
FCM-Geräteverbindunge sinn TCP, déi vum Gerät ausgoen, op de Port 5228, mat 5229 an 5230 als Ersatz an 443 als lescht Mëttel. Eng Firewall, déi 443 fir d'Surfen erlaabt, ka Push nach ëmmer briechen, an eng Regel, déi d'API-Domän vun enger App erlaabt, deckt d'Messaging-Endpunkten net of, déi separat Servicer sinn.
Dëst sinn no baussen geriichte Verbindunge vum Telefon. Dir publizéiert keen agehende Port um Gerät oder um VPN-Gateway, also wann een eng Port-Weiderleedung proposéiert, ass den Design schonn falsch gaang. Datselwecht gëllt fir eng Regel, déi een Port fir all Adress am Internet opmécht: begrenzt se op déi dokumentéiert Destinatiounen.
| Port | Role | What to verify |
|---|---|---|
| 5228 | Primary FCM connection | Outbound allowed and session state kept |
| 5229, 5230 | Fallback ports | Often missing from hand-written allowlists |
| 443 | Last-resort fallback | Works only if the client actually falls back |
| HTTP proxy | Not a supported FCM transport | Proxy exclusion or bypass, not a port rule |
Firebase seng Netzwierk-Richtlinnen seet och, datt den FCM-Liwwerprotokoll net iwwer en normale HTTP-Proxy gedroe ka ginn. Datt e Browser iwwer de Firmen-Webproxy funktionéiert, beweist also näischt iwwer de Push-Socket: dat sinn zwee verschidde Clienten mat verschiddene Weeër.
Préift d'Idle-Timeouts, déi de Socket ëmbréngen
D'FCM-Verbindung bleift tëscht de Noriichten op, wat se empfindlech fir NAT- an Stateful-Inspection-Timeouts mécht. Firebase seng Richtlinnen froen op d'mannst 30 Minutten Idle-Toleranz, wou sou Politike gëllen. E Sëtzungs-Timeout vu fënnef Minutten hëlt d'Mapping rou erof, an den Telefon verbënnt sech eréischt nees, wann eppes en erwächt, sou datt d'Noriichten an Trappchen oder guer net ukommen.
Liest d'Sëtzungstabell op der Firewall oder um VPN-Gateway a fannt dem Telefon seng Verbindung op 5228-5230. Vergläicht seng verbleiwen Liewensdauer mam dokumentéierte Wäert. Wann se méi kuerz ass, erhéicht den Timeout fir déi Porten, amplaz all Politik um Gerät ze änneren, well eng global Timeout-Ännerung schwéier ze begrënnen an nach méi schwéier zréckzehuelen ass.
Push-Liwwerung hänkt och dovun of, datt d'Endpoint-Mapping e Roaming tëscht Wi-Fi a Mobilnetz iwwerlieft. Eng Mapping, déi un eng Interface gebonnen ass, kann beim Iwwergang verluer goen, och wann béid Netzwierker d'Porten erlaben.
Entscheet, ob de VPN-Bypass akzeptabel ass
Android-VPN-Clienten kënnen dem Traffic erlaben, den Tunnel ze ëmgoen, an FCM ka vum ënnerleeënen Netzwierk profitéieren, wann dëse Bypass erlaabt ass. De Push-Kanal bleift an deem Fall verschlësselt, awer en dréit net méi d'Adress vum Tunnel, sou datt d'IP-Maskéierung vun der VPN net gëllt. Dat ass en Trait-de-Politik, keen Defekt.
Wann Är Politik de Bypass verbitt, muss den Tunnelwee d'Verbindung droen: Porten op, Timeouts laang genuch, Proxy net am Wee. Schléisst net rou e verwalteten Service aus a lockert net d'Spär, just well d'Notifikatiounen an engem net-verwalteten Netzwierk funktionéieren. D'VPN-Symbol seet net, wéi ee Wee eng bestëmmte Servicer gewielt huet
Trennt d'Liwwerung vun der Duerstellung, da testt eng Kéier
Erlaabnis, Kanal-Astellungen, Net stéieren an d'Schalter pro App entscheeden, ob eng geliwwert Noriicht gewise gëtt. Op Android 13 an duerno ass d'Notifikatiouns-Erlaabnis eng Zoupruecht zur Lafzäit, an eng verworf Zoupruecht mécht eng Rou, déi genee wéi ee gespaarten Port ausgesäit. Eng Noriicht, déi ukomm awer net gewise gouf, ass e Presentatiounsproblem; behandelt se separat.
Maacht ee kontrolléierten Test amplaz Noriichten op Buedem ze schécken. Hält d'Gerät, de Kont an d'App fest, schéckt eng eenzeg Noriicht mat engem bekannten Zäitstempel a vergläicht d'VPN-Situatioun mat engem ugehollenen Netzwierk ouni VPN. Schreift d'Ukommenszäit am logcat an d'Duerstellungszäit fir all Laf op. Wann d'Liwwerung sech ënnerscheet, d'Duerstellung awer net, ass den Netzwierkwee d'Variabel; wann béid gläich sinn, kuckt weider op d'App.
Gitt dem Netzwierkbesëtzer d'Porten, d'Proxy-Begrenzung, den gemoossenen Timeout an d'Bypass-Entscheedung an engem eenzegen Notiz. «Schalt d'VPN aus» ass kee Resultat, an all Google-Traffic z'erlabe ass keng ofgegrenzt Korrektur.