In-notifiki push tal-Android ma jaħdmux ma VPN? Iċċekkja dawn
FCM iżomm il-konnessjoni tiegħu stess lejn barra fuq il-portijiet 5228-5230. Iċċekkja r-regola tal-proxy, it-timeout tan-NAT u l-bypass tal-VPN qabel ma tmiss is-settings tan-notifiki.
In-notifiki jieqfu jaslu fuq telefon li xorta jibrawżja tajjeb permezz tal-VPN korporattiva. Il-paġni tal-web jgħabbu, l-app tiftaħ, u l-messaġġi jidhru biss id-dar jew wara li t-tunnel jintefa. F'app mibnija fuq Firebase Cloud Messaging, il-kanal push huwa konnessjoni lejn barra separata u fit-tul, mhux ir-rotta HTTPS li l-brawżer għadu kemm wera. Mexxi dawn il-verifiki fl-ordni u waqaf fl-ewwel waħda li tfalli.
Ikkonferma li l-app tassew tuża FCM
Mhux kull notifika hija push. Xi wħud l-app tiskedahom lokalment, oħrajn jintalbu permezz ta' HTTPS, u oħrajn jaslu permezz ta' kanal tal-fornitur li m'għandu x'jaqsam ma' Firebase. Jekk il-manifest u d-dipendenza tal-app jinkludu Firebase Messaging, in-notifiki tagħha normalment jgħaddu mill-konnessjoni FCM, u l-librerija tal-klijent tirreġistra r-reġistrazzjoni taħt tikketta prevedibbli.
adb logcat -s FirebaseMessaging:V
adb shell dumpsys package <package> | grep -i firebaseToken ta' reġistrazzjoni fil-log jikkonferma t-trasport. Mingħajru qed tiddenubbja pipeline ta' notifiki fil-livell tal-app, u l-bidliet fil-firewall mhux se jgħinu. Din id-distinzjoni hija importanti għax messaġġ ikkonsenjat li qatt ma jidher u messaġġ li qatt ma jasal jidhru l-istess lill-utent.
Iċċekkja l-portijiet lejn barra, mhux is-sit web
Il-konnessjonijiet tat-tagħmir FCM huma TCP li jibdew mit-tagħmir lejn il-port 5228, b'5229 u 5230 bħala riżerva u 443 bħala l-aħħar għażla. Firewall li jippermetti 443 għall-brawżjar xorta jista' jkisser il-push, u regola li tippermetti d-dominju API ta' app ma tkoprix il-punti tat-tmiem tal-messaġġi, li huma servizzi separati.
Dawn huma konnessjonijiet lejn barra mit-telefon. Ma tippubblikax port deħlin fuq it-tagħmir jew fuq il-gateway tal-VPN, allura jekk xi ħadd jissuġġerixxi port forwarding, id-disinn diġà mar ħażin. L-istess jgħodd għal regola li tiftaħ port wieħed għal kull indirizz fuq l-internet: illimitalna għad-destinazzjonijiet dokumentati.
| Port | Role | What to verify |
|---|---|---|
| 5228 | Primary FCM connection | Outbound allowed and session state kept |
| 5229, 5230 | Fallback ports | Often missing from hand-written allowlists |
| 443 | Last-resort fallback | Works only if the client actually falls back |
| HTTP proxy | Not a supported FCM transport | Proxy exclusion or bypass, not a port rule |
Il-gwida tan-netwerk ta' Firebase tgħid ukoll li l-protokoll tal-kunsinna FCM ma jistax jinġarr fuq proxy HTTP ordinarju. Għalhekk li brawżer jaħdem permezz tal-proxy web korporattiv ma jipprovax xejn dwar is-socket push: dawn huma żewġ klijenti differenti b'rotot differenti.
Iċċekkja t-timeouts ta' inattività li joqtlu s-socket
Il-konnessjoni FCM tibqa' miftuħa bejn il-messaġġi, u dan jagħmilha sensittiva għat-timeouts tan-NAT u tal-ispezzjoni stateful. Il-gwida ta' Firebase titlob mill-inqas 30 minuta ta' tolleranza għall-inattività fejn japplikaw dawn il-politiki. Timeout ta' sessjoni ta' ħames minuti jneħħi l-mapping bil-kwiet, u t-telefon jerġa' jikkonnettja biss meta xi ħaġa tqajmu, allura l-messaġġi jaslu f'daqqiet jew ma jaslux.
Aqra t-tabella tas-sessjonijiet fuq il-firewall jew il-gateway tal-VPN u sib il-konnessjoni tat-telefon ma' 5228-5230. Qabbel il-ħajja li fadal mal-valur dokumentat. Jekk hija iqsar, għolli t-timeout għal dawk il-portijiet minflok ma tbiddel il-politiki kollha fuq it-tagħmir, għax bidla globali fit-timeout hija diffiċli tiġġustifikata u saħansitra aktar diffiċli tiġi rrevokata.
Il-kunsinna push tiddependi wkoll milli l-mapping tal-punt tat-tmiem jibqa' ħaj waqt roaming bejn Wi-Fi u ċellulari. Mapping marbut ma' interface waħda jista' jiġi skartat waqt il-handover anki meta ż-żewġ netwerks jippermettu l-portijiet.
Iddeċiedi jekk il-bypass tal-VPN huwiex aċċettabbli
Il-klijenti VPN tal-Android jistgħu jippermettu t-traffiku jaqbeż it-tunnel, u FCM jista' juża n-netwerk ta' taħt meta dak il-bypass ikun permess. Il-kanal push jibqa' encrypted f'dak il-każ, imma ma jġorrx aktar l-indirizz tat-tunnel, allura l-maskar tal-IP tal-VPN ma japplikax għalih. Dan huwa kummerċ fil-politika, mhux ħsara.
Jekk il-politika tiegħek tipprojbixxi l-bypass, ir-rotta tat-tunnel trid iġġorr il-konnessjoni: portijiet miftuħa, timeouts twal biżżejjed, proxy barra mit-triq. Teskcludix bil-kwiet servizz immaniġġjat u tlaqtx il-lock sempliċement għax in-notifiki jaħdmu fuq netwerk mhux immaniġġjat. L-ikona tal-VPN ma tgħidx liema rotta għażlet servizz partikolari
Issepara l-kunsinna mill-wiri, imbagħad ittestja darba
Permess, settings tal-kanal, Tiddisturbax u toggles għal kull app jiddeċiedu jekk messaġġ ikkonsenjat jintweriex. Fuq Android 13 u aktar tard il-permess tan-notifiki huwa għotja fil-ħin tal-eżekuzzjoni, u għotja miċħuda tipproduċi skiet li jidher eżattament bħal port imblukkat. Messaġġ li wasal imma ma ntweraiex hija problema ta' preżentazzjoni; ittrattaha separatament.
Agħmel test wieħed ikkontrollat minflok tibgħat messaġġi bl-addoċċ. Żomm it-tagħmir, il-kont u l-app fissi, ibgħat messaġġ wieħed b'timestamp magħruf, u qabbel il-kundizzjoni tal-VPN ma' netwerk approvat mingħajr VPN. Irreġistra l-ħin tal-wasla fil-logcat u l-ħin tal-wiri għal kull esekuzzjoni. Jekk il-kunsinna tvarja imma l-wiri le, ir-rotta tan-netwerk hija l-varjabbli; jekk it-tnejn huma identiċi, kompli ħares lejn l-app.
Agħti lis-sid tan-netwerk il-portijiet, il-limitazzjoni tal-proxy, it-timeout imkejjel u d-deċiżjoni tal-bypass f'nota waħda. «Itfi l-VPN» mhijiex sejba, u li tippermetti t-traffiku kollu ta' Google mhijiex tiswija b'skop.