Ausgeschloss App nach online? D'Regele pro App a fir Route sinn anescht

E Pak auszeschléissen ass eng Routing-Uweisung, net eng Blockéierung, dofir sinn d'Säiten, déi no der Verbindung vum VPN lueden, erwaart an net de Beweis fir e Fehler. D'Ausschleiung hëlt d'App aus dem Tunnel amplaz se ze blockéieren, an dat gewéinlecht Netz dréit hire Verkéier. Hei begéinen sech zwou getrennte Politiken: déi eng wielt Prozesser, déi aner wielt Destinatiounen. Se an där Reihenfolg ze liese erkläert, firwat eng verbonnen Ikon an eng funktionéierend App kee Widdersproch sinn.

Firwat eng Ausschleiung d'Netz op léisst

VpnService.Builder akzeptéiert entweder eng Erlaabnislëscht oder eng Blockslëscht, ni béides. Nëmme Paketen op enger Erlaabnislëscht gi duerch den Tunnel geleet. Eng Blockslëscht dréit dat ëm: all Pak ausser deene gelëschten benotzt den Tunnel, an déi gelëschte behalen de physesche Wee. En net gelëschte Pak ass ënner enger Erlaabnislëscht och ausserhalb vum Tunnel, dofir ass d'Ausschleiung den normale Zoustand fir déi meescht Appen an deem Modus.

Dat mécht en lokalen Ausschleungsagang zu enger Routing-Entscheedung, net zu enger Firewall-Reegel. Wann d'Fuerderung ass, eng App dovun ofzehalen, en Host z'erreechen, muss den Tunnel se decken an de Server oder eng lokal Politik muss den Verkéier ofleenen. Eng App aus dem Tunnel ze huelen ännert just, wéi eng Schnëttstell hir Paketen dréit.

De Fall Play Store ass dat gewéinlecht bewosst Beispill. De Buttikspak auszeschléissen erlaabt den Downloads, déi ënnescht Verbindung ze benotzen, wann den VPN-Ausgang d'Transfere stéiert, an et weist, datt Ausschleiung Ëmwee bedeit, net Blockéierung.

E Profil, eng Lëscht

De Builder schéisst eng Ausnam, wann béid Opruff benotzt ginn, dofir ass de Profil virun Iech entweder eng Erlaabnis- oder eng Blockslëscht. Dës eenzeg Tatsaach bestëmmt, wéi all spéider Observatioun ze liesen ass. Kontrolléiert de Code oder déi verwalt Konfiguratioun virun der Routingtabell, well d'Lëscht entscheet, wat de Rescht vum Output bedeit. En hybride Profil ass keen Zoustand, deen een uweise kann.

Den Ënnerscheed préviséiert och, wat eng nei installéiert App wäert maachen. Ënner enger Erlaabnislëscht bleift se dobaussen, bis een se derbäi setzt, wärend se ënner enger Blockslëscht standardméisseg an den Tunnel kënnt.

Verwalt Konfiguratiounen weisen déi selwecht Wiel ënner aneren Nummë vun de Schlësselen, an eenzel Konsolen beschreiwen se als Per-App-VPN-Modus an net als Lëscht. D'Verhalen reduzéiert sech awer op déi zwéin Opruff, dofir verfollegt d'Astellung zréck bis zur Paklëscht amplaz dem Etikett ze vertrauen. Wann d'Etikett an d'Lëscht net iwwereneestëmmen, gewënnt d'Lëscht.

Verfollegt d'UID-Reegel bis zur Tunneltabell

Android gëtt all App hir eege Linux-Benotzer-ID, an de VPN-Service installéiert Politikregele, déi mat UID-Bereicher passen. Passenden Verkéier gëtt an eng Routingtabell geschéckt, där hir Standardroute op den tun-Apparat weist. D'Tabellennummer gëtt pro VPN-Instanz zougedeelt, dofir ännert se sech no enger Neiverbindung oder nom Uleeë vun engem zweete VPN-Profil.

Den Output vun de Regele ass d'Kaart. All Zeil nennt eng Sich-Tabell, an déi Tabell hält d'Standardroute, déi entscheet, ob passend Paketen an den Tunnel kommen.

adb shell ip rule show
adb shell ip route show table all
adb shell cmd package list packages -U | grep <package>

Fuert fir d'éischt den drëtten Uerder aus, fir d'UID ze kréien, a fannt dann d'Reegel, där hire Beräich se enthält. Déi Reegel weist op eng Tabellennummer, an ip route show table <n> mat dëser Nummer gesäit een, ob et eng Standardroute duerch den tun-Apparat gëtt. Huet d'Tabell keng Standardroute, ass d'App ausgewielt, huet awer kee Wee, wat en anere Fehler ass.

Dës Uerderen brauchen en debuggbare Build oder en Apparat, op deem adb shell den Netzzoustand liese kann. Op engem Produktiounstelefon äntwert de Pakmanager nach, awer d'Routingprüfung ka refuséiert ginn, dofir notéiert, wat Dir kënnt, a behandelt de Rescht als onbestätegt.

Eng Route fuerdert e Präfix, net eng App

Builder.addRoute fuerdert Destinatiounspräfixe fir den Tunnel. E Profil, deen nëmmen 10.0.0.0/8 derbäi setzt, schéckt dee Präfix duerch den Tunnel an loosse all aner Destinatioun um physesche Wee. Dat ass gewéinlecht gedeelt Tunnelen, an et ass onofhängeg dovun, wéi eng Appen d'Regele gewielt hunn.

D'Konfiguratioun, déi de Server iwwerdréit, spigelt dat selwecht Modell. Eenkel Routeiwwerdrounge setzen Präfixen derbäi, wärend eng redirect-gateway-Direktiv d'Standardroute ersetzt an alles fir d'Appen hëlt, déi den Tunnel deckt. Dës Direktiv ewechzehuelen kann en funktionéierenden Tunnel op eng eenzeg Ënnersubnetz schrumpen, ouni eng Ännerung um Apparat.

Eng iwwerdroe Route mat engem ongewéinleche Gateway oder metresche Qualifizéierer kann och net installéiert ginn. Preferéiert déi einfach Präfixform a loosst de Server d'Weiterleitung an den NAT maachen.

Liest d'Kräizung, ier Dir eng Astellung ännert

Den Tunnel dréit d'Kräizung vun den ofgedeckte Prozesser an den ugefuerderten Destinatiounen. Eng ofgedeckt App, déi eng Adress ausserhalb vun den publizéierte Präfixe freet, geet iwwer dat physescht Netz eraus. En ausgeschlossene Pak bleift dobaussen, och wann en eng Adress an deene Präfixe freet. Keen vun deenen zwee Fäll ass e Feeler; béid sinn déi zwou Politiken, déi hir Aarbecht maachen.

E Per-App-VPN kann eng assoziéiert App och ouni Verbindung loossen. Wann on-demand aus ass an den Tunnel ënnen, bleift d'App un de Per-App-VPN gebonnen an huet kee Reservewee, wat wéi eng futti App ausgesäit an net wéi en Zoustand vun der Politik. on-demand anzeschalten oder d'Assoziatioun iwwer d'Verwaltung ewechzehuelen ännert dat.

Diagnostizéiert eng Achs op eemol. Bestätegt d'éischt Erlaabnes oder Ausschleiung, liest zweeteens déi installéiert UID-Reegelen an Tabellen, a testt leschtens eng zweet App géint déiselwecht Destinatioun. Déi zweet App trennt d'Prozesswahl vun der Destinatiounswahl an enger eenzeger Ufro.

Schreift d'Resultat op als App, Destinatioun an Tabellennummer. Genee dësen Dräier muss déi nächst Ännerung erhalen.