Wéi een en aktiven VPN-Tunnel aus dem Code op all Plattform erkennt
Gëtt et den Tunnel, geet dës Destinatioun duerch en, oder äntwert dee wäiten Enn? Dat sinn dräi ënnerschiddlech Kontrollen an dräi ënnerschiddlech Signaler.
„Ass de VPN un?” sinn eigentlech dräi Froen an engem Saz. Wéi eng dovun Äre Code brauch ass déi éischt Entscheedung, an déi iwwersprangen déi meescht Implementatiounen. Gëtt et en Tunnel op dësem Apparat, geet den Trafic op dës Destinatioun duerch en eraus, oder äntwert dee wäiten Enn mat der Identitéit déi Dir erwaart. Wielt d’Eegeschaft, dann de Signal deen se misst, a sot zum Schluss am Log wéi eng Dir tatsächlech gemooss hutt.
Dräi Eegeschaften, dräi Signaler
Op eng Linn jiddwerengem zesummegedréckt hunn déi dräi Froen dräi verschidden Äntwerten. D’Tabell hei drënner ass d’Entscheedung selwer, net hir Zesummefaassung.
| Property | Signal that answers it | What it still leaves open |
|---|---|---|
| Existence | The platform's own connection state: RAS on Windows, NetworkManager on D-Bus on Linux, scutil on macOS | Tunnels of a type the platform does not manage, which includes most third-party clients |
| Path | A route lookup for the one destination, or a scoped proxy or interface key that names the tunnel | Whether the far end is the peer you trust |
| Identity | An authenticated response from the far end, or a source-address policy applied on the server | Which local interface carried the packets |
Liest déi lescht Zeil lues. En private Host deen äntwert beweist datt eppes geäntwert huet, net datt d’Äntwert duerch den Tunnel koum, an et seet näischt drop wien um aneren Enn sëtzt. Wann d’Eegeschaft déi Dir braucht de Wee ass, misst de Wee.
Existenz: den eegene Stat vun der Plattform
Windows äntwert dëst fir nativ Profiler iwwer d’Remote Access Service API. RasEnumConnections zielt op wat verbonnen ass, RasGetConnectStatus mellt den Zoustand vun engem Asaz, an RasGetLinkStatistics bäisetzt Vitess, Byte-Ziedler an Alter vun der Verbindung. D’Grenze sinn de Punkt: OpenVPN, WireGuard a Verkäufer-Cliënte registréieren ni eng RAS-Verbindung, dofir weist en gesunden Tunnel vun där Aart eng eidel Lëscht an naive Code mellt en als aus.
Linux-Desktope bidden déiselwecht Eegeschaft iwwer NetworkManager op D-Bus un, wou PropertiesChanged um VPN-Verbindungsobjekt d’Kontroll an en Evenement ëmwandelt an d’Eegeschaft State mellt wéini de Link de verbonnene Stat erreecht. Aus enger Shell liest nmcli connection show --active déiselwecht Informatiounen, an dat ass wat Dir beim Debugge wëllt. macOS hält déi Lëscht am System Configuration-Kader, mat scutil als seng Vue vun der Kommandozeil. All dräi beschreiwen eng Verbindung déi d’Plattform geréiert, an all dräi schweigen zu engem Tunnel deen se net geréiert.
Wee: wou de Paket tatsächlech higeet
Numm-Match ass d’Ofkierzung op déi all als éischt gräifen: zielt d’Interface op, test de String géint tun, tap, ppp oder ipsec, an hält en Treffer als Beweis. Et ass eng Heuristik, an den Interface-Set kann d’selwecht ausgesinn egal ob eppes duerch en beweegt oder net. Méi al iOS-Builden hu sou geäntwert a méi nei hunn opgehalen, well déi sichtbar Interface d’zwee Stäit net méi ënnerscheet hunn.
Wat et do ersat huet ass de System-Proxy-Wierderbuch. Esoulaang e VPN verbonnen ass, gëtt de Call vun den Proxy-Astellunge Schlësselen zréck déi op d’tunnelverbonne Interface limitéiert sinn, an ouni Verbindung kënnt d’Wierderbuch eidel zréck. Dat ass eng méi schwaach Ausso wéi et kléngt, well et d’Iwwerzeegung vum System festhält datt en Tunnel existéiert, an net wéi eng Destinatioun en notzt.
Android huet seng eege Versioun vun der Falle: d’vpn.connectivity-Ausstralung erreecht Empfänger déi am Manifest deklaréiert sinn an e puer Builden an zur Lafzäit registréiert Empfänger an aneren. Behandelt se als bescht Effort, an haalt eng direkt Sonde hannert hir.
Wann d’Destinatioun dat ass wat zielt, freet d’Routing-Tabell amplaz vun der Adapterlëscht. D’Heuristike vum Standard-Gateway briechen op Maschinnen mat méi Netzwierker an op Tunnelen déi hire eigenen Gateway installéieren.
Identitéit: probéiert dat wäit Enn
Eng Loop déi all puer Sekonnen en ICMP-Echo op dat wäit Enn schéckt ass déi bëllegst Kontroll vun dëser Aart, an se feelt an enger nëtzlecher Richtung. Riicht se op eng Adress déi et just am private Netzwierk gëtt, well eng ëffentlech iwwer all funktionéierende Uplink äntwert an näischt beweist. Wou ICMP gefiltert gëtt, mécht eng kuerz TCP-Verbindung zum Service-Port déiselwecht Aarbecht.
Eng Kontroll op der Serversäit huet genau ee Signal: d’Quelladress vun der Verbindung. D’Inventar vun de Beräicher ze halen ass Ënnerhaltsaarbecht, an et kann en Tunnel net vun engem aneren Netzwierk trennen dat zoufälleg deeselwechte Block benotzt.
Grov Politik kann domat liewen. Identitéit kann et net, dofir authentifizéiert de Client amplaz ze vertrauen wou seng Pakete schéngen hierzekommen.
Logt d’Kategorie, net de Verdikt
Halt d’Feelerkategorien am Log getrennt: guer keen Interface, Interface do awer d’Destinatioun net erreechbar, Destinatioun erreechbar awer Authentifikatioun ofgeleent. Dat sinn dräi verschidden Eegentmer, an all ee mécht eng aner Enquête op.
Se zu engem eenzegen „VPN aus” zesummenzeféieren schéckt de Rapport un en Team dat en net ka fixen. D’Kategorie ass de nëtzlechen Output; de Verdikt ass dat wat en falsch mécht.