Android-VPN-ikonet lyser, så hvorfor går ikke trafikken gjennom tunnelen?

VPN-nøkkelen din står i statuslinjen, nettleseren laster en side, og adressen et nettsted rapporterer er fortsatt hjemmeforbindelsen din. Den kombinasjonen er normal på Android, fordi ikonet sier at en app eier et virtuelt nettverksgrensesnitt, ikke at trafikken din går ut via en ekstern server. En lokal filtreringsapp bruker samme ordning. Sjekk hva tjenesten faktisk gjør før du klandrer leverandøren.

Ikonet betyr at en VPN-tjeneste eier grensesnittet

Androids VPN-tjeneste lar en app opprette et virtuelt grensesnitt og motta pakkene som rutes inn i det. Hva som skjer videre er helt opp til den appen: den kan videresende dem til en ekstern server, filtrere dem eller forkaste dem. Nøkkelikonet melder at en tjeneste holder grensesnittet, ikke hvor pakkene tar veien. Derfor ser en filtreringsapp og en full tunnel like ut i statuslinjen.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Bare én VPN-tjeneste kan være aktiv om gangen per bruker eller profil, noe som er dokumentert atferd og ikke en feil. Når en annen app prøver å koble til, overtar den eller feiler, og trafikken til den første blir ikke lenger behandlet. Hvis en filtreringsapp avsluttes i det øyeblikket du kobler til en tunnel, er den konkurransen den sannsynlige årsaken.

Innebygd profil eller app-VPN: de kan ikke byttes om

En IKEv2-profil som plattformen tilbyr, og en app som implementerer OpenVPN eller WireGuard, er forskjellige produkter med forskjellige menyer. Plattformens API for IKEv2 finnes fra en bestemt Android-versjon, og produsentenes bygg viser ikke alle de samme valgene på samme sted. Et skjermbilde fra en annen telefon er ikke et kompatibilitetsdokument.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Match protokollen med klienten som støtter den, og hent profilen via leverandørens verifiserte kanal i stedet for å lime den inn i et uvedkommende skjema. En endepunktadresse forteller hvor du skal koble til, ikke hvilken app som kan snakke protokollen. Behandle eksporterte profiler og QR-koder som påloggingsinformasjon, fordi et QR-bilde kan inneholde hele nøkkelen. Hvis profilen ble utstedt til en annen klient, utsted den på nytt i stedet for å konvertere den.

Regler per app og arbeidsprofiler endrer omfanget

Android støtter VPN-konfigurasjoner per app, så en nettleser kan være utenfor tunnelen mens en e-postapp er innenfor. Personlig og arbeidsprofil er separate kontekster med sin egen aktive tjeneste. Å sjekke adressen fra feil app er en av de vanligste feilslutningene på dette området.

Se på inkluderings- og ekskluderingslistene, og test deretter med appen du faktisk bryr deg om. En arbeidsprofil-tunnel dekker ikke personlige apper, og en personlig tunnel dekker ikke arbeidsapper. Den samme delingen forklarer hvorfor en bedriftsressurs virker i én profil og feiler i en annen uten synlig konfigurasjonsforskjell. Noter profikonteksten i saken, fordi den endrer hvilke innstillinger som i det hele tatt gjelder.

Stopp hvis appen du tester ikke er innenfor tunnelens omfang. Det er et policyvalg, ikke en feil.

Test hva som faktisk forlot telefonen

Test offentlige og private destinasjoner, begge adressefamilier og begge tilgangsnettverk. Sammenlign deretter resultatet med appens eget omfang, fordi en vellykket sideinnlasting i én app ikke sier noe om den andre. Gjenta etter bytte fra Wi-Fi til mobildata, siden en gjentilkobling kan lande på en annen vei.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN og alternativet som blokkerer tilkoblinger uten VPN er beslektet, men forskjellige, og en streng blokkering kan ødelegge captive-portal-innlogging til du følger den dokumenterte prosedyren. Private DNS-innstillinger kan også samspille med profilens resolver, så en blind utskifting av en organisasjons DNS skaper en ny feil. Hvis tunnelen dør når skjermen låses, les VPN-utviklerveiledningen om bakgrunnskjøring og batterioptimalisering før du installerer noe på nytt.

Symptomet du bør holde fast ved, er gapet mellom ikonet og veien. Nøkkelen betyr at en tjeneste eier grensesnittet; bare en test fra den tiltenkte appen på det tiltenkte nettverket forteller hvor trafikken tok veien. Sjekk begge, og den neste rapporten om en ødelagt VPN er mye lettere å plassere.