Android-VPN-varsel viser en privat adresse: hva det betyr

Du drar ned varselspanelet, trykker på det faste VPN-varselet, og det viser noe som 10.13.0.42/30 ved siden av en tilkoblet tilstand. Det tallet er adressen appen har gitt sitt eget virtuelle grensesnitt på telefonen, så det beskriver ett lokalt nettverksobjekt, ikke serveren du nådde eller adressen et nettsted vil logge. Ingenting ved det er hemmelig, og ingenting ved det beviser at trafikken din er dekket. Rekkefølgen nedenfor er den jeg bruker for å finne ut hva et varsel faktisk sier, fra telefonen i hånden til en ekte adressekontroll.

Start med varselet, ikke et søkefelt

En moderne Android-klient viser vanligvis to forskjellige ting i samme panel: en tilkoblingstilstand og en adresseblokk. Tilstanden sier at tunnelen er oppe. Adresseblokken sier hva appen har konfigurert på telefonens side av tunnelen, og klientene skriver den ut fordi det er det enkleste beviset de har for at grensesnittet finnes.

Hold inne varselet og åpne appens informasjonsside før du gjør noe annet. Noter pakkenavnet, og legg merke til om appen ligger i din personlige profil eller i en arbeidsprofil. To VPN-klienter med like ikoner kan bo på samme enhet, og panelet navngir ikke alltid den du antar. Hvis ikonet er ukjent, er det funnet, og adressen er en avledning.

Tre adresser finnes samtidig

Telefonen din har en Wi-Fi- eller mobiladresse, appen har en adresse på tunnelgrensesnittet, og en eller annen ekstern gateway har den offentlige kildeadressen omverdenen ser. Det er tre separate tildelinger, og ingen av dem kan utledes fra de to andre.

Tunneladressen i varselet er nesten alltid privat. 10.13.0.42 ligger innenfor 10.0.0.0/8, et av områdene RFC 1918 reserverer, så enhver leverandør kan dele ut det samme nummeret. Å se den forteller at appen brukte en privat pool, ikke hvor den poolen driftes. To telefoner på forskjellige kontinenter kan rapportere samme verdi.

Denne gjenbruken er grunnen til at adressen ikke kan være et fingeravtrykk. En annen leverandør kan bruke samme blokk, fordi ingenting koordinerer poolene mellom selskaper. Leverandørene velger dem av vane og etter hva gateway-konfigurasjonen deres allerede forventer.

Les /30 som et prefiks, ikke et antall

Tallet etter skråstreken er prefikslengden. Her betyr /30 tretti biter nettverksprefiks, noe som etterlater to biter til verter, så blokken dekker 10.13.0.40 til 10.13.0.43. Det er ikke tretti enheter, og det er ikke en server tretti hopp unna.

Små prefikser som dette er vanlige på punkt-til-punkt-tunnelforbindelser: én brukbar adresse til telefonen, én til den fjerne enden. Om appen faktisk beholder dette oppsettet, er en egenskap ved konfigurasjonen. Behandle prefikset som et hint om hvordan appen er designet, ikke som et kart over leverandørens nettverk.

Bekreft tunnelen fra telefonen

Innstillinger, deretter Nettverk og internett, deretter VPN lister opp den aktive profilen og appen som eier den. Den skjermen er autoritativ for hvilken klient som er tilkoblet. Varselet er bare et sammendrag av den. Når de to er uenige, stol på innstillingsskjermen og behandle varselet som utdatert.

Hvis du bygger en autorisert diagnostikkintegrasjon, eksponerer det valgte Network-objektet lenkeadresser og et grensesnittnavn gjennom LinkProperties. Noter profilen og nettverket du tok prøven på, fordi et øyeblikksbilde fra feil nettverk svarer på et spørsmål ingen stilte.

Shell-tilgang er mindre pålitelig enn folk forventer. Grensesnittnavn varierer etter utgivelse og produsent. Et filter som bare matcher en IPv4-linje med tun, hopper stille over IPv6-tildelinger og enhver klient som kaller grensesnittet sitt noe annet. Les hele listen før du snevrer den inn.

Se hva et nettsted ser fra appen du bryr deg om

Last en offentlig adressekontroll i nettleseren, og gjenta så kontrollen inne i appen du faktisk vil beskytte. Hvis begge rapporterer samme kildeadresse, bærer tunnelen begge. Hvis de er forskjellige, er ruting per app eller delt tunnel i spill.

To konfigurasjoner gir et sunt varsel helt uten ekstern utgang. En lokal filtreringsapp kan lage et tunnelgrensesnitt for å inspisere DNS eller blokkere annonser uten noen server. En kun-privat VPN kan bygges for å nå et hjemmenettverk mens vanlig surfing forblir direkte. I begge tilfeller er adressen i panelet ekte, og dekningen du antok er det ikke.

Avgjør om varselet fortjener et nytt blikk

Et uventet VPN-varsel er verdt å undersøke som en installert app, ikke som en adresse. Sjekk profileieren, enhetsadministratorens tillatelser og alt som er lagt til siden du sist gjennomgikk den listen. Trekk tilbake det du ikke kan forklare, og følg deretter med på panelet igjen. Kommer varselet tilbake med en profil du kjenner, har du svaret. Kommer det tilbake uten, er det noe annet som starter appen.

Så lukk sirkelen: eierappen, den aktive profilen, kildeadressen fra appen du bryr deg om, og den forventede ruten. Hvis alle fire stemmer, er tallet i varselet bare bokføring og ikke noe mer.