VPN en advertentieblokkering tegelijk op Android: kies waar je filtert

Je verbindt de tunnelapp en het sleutelpictogram in de statusbalk gaat naar die app; de advertentieblokkering die er een seconde geleden was, is weg, of hij maakt opnieuw verbinding en de tunnel valt weg. Niets is kapot. Android staat één actieve VPN-dienst per gebruikersprofiel toe, en beide apps willen die plek, dus degene die als tweede start vervangt de eerste. De twee functies zijn niet onverenigbaar, de verpakking is dat. Los dit op de telefoon zelf op en je kunt de tunnel houden en toch advertenties wegsnijden.

Kijk naar de plek voordat je iets verandert

Open Instellingen, dan Netwerk en internet, dan VPN, en noteer wat er wordt vermeld en welke vermelding is verbonden. Die lijst geldt per gebruikersprofiel: een werkprofiel heeft zijn eigen VPN-plek en zijn eigen apps, daarom filtert de blokkering die in het werkprofiel is geïnstalleerd niet de persoonlijke apps die je echt gebruikt.

Let op de statusbalk terwijl je wisselt. Het sleutelpictogram hoort bij de VPN-dienst die actief is, dus als je de tweede app start en ziet dat het pictogram van eigenaar wisselt, weet je dat de vervanging heeft plaatsgevonden, zelfs wanneer beide apps nog beweren te draaien. Een filterapp die zo werkt, stuurt je verkeer niet naar een externe server; hij gebruikt een lokale VPN-interface om pakketten te inspecteren of om te leiden, en hij bezet dezelfde ene plek.

Kies de plek waar het filter draait

Er zijn drie realistische plaatsingen, en ze verschillen meer in dekking dan in kwaliteit. Een browserextensie filtert pagina's in die ene browser en laat de Android-VPN-plek vrij. Filtering die in het VPN-product is ingebouwd, dekt het verkeer en de regels die dat product documenteert, en de mogelijkheden verschillen zo sterk dat een label advertentieblokkering niets zegt over het mechanisme. Een filterende DNS-resolver dekt naamopzoekingen die hem echt gebruiken, en niets anders.

Een Android-functie die hier de moeite van het begrijpen waard is, is het bereik per app. Een VPN-dienst kan worden beperkt tot een lijst apps, wat verandert welke apps de actieve tunnel afhandelt. Dat maakt geen tweede plek, dus de tunnel en het filter kunnen nog steeds niet tegelijk draaien; het laat je alleen het filter weghouden van apps die de tunnel moeten gebruiken.

Kies op basis van het resultaat dat je wilt. Als de klacht advertenties op webpagina's is, bestaat een contentblokker in de browser naast elke tunnel. Als het ook advertenties in apps omvat, moet het filter op het pakket- of DNS-pad zitten dat de app al gebruikt, wat meestal het VPN-product zelf betekent of een resolverbeleid dat je beheert.

Eerst browserfiltering, wanneer dat genoeg is

Firefox voor Android installeert compatibele extensies via zijn eigen Add-ons-werkstroom, en Mozilla's extensiegids behandelt de installatie en de machtigingen die elk ervan vraagt. Lees die machtigingen voordat je installeert. Een contentblokker moet paginacontent zien en wijzigen, dat is een echte bevoegdheid, en dat is de reden om hem uit de eigen catalogus van de browser te halen in plaats van uit een pakket dat je er zelf naast zet.

Het voordeel is structureel. Omdat hij in de browser draait, raakt hij de VPN-plek niet aan, verandert hij de resolver van het apparaat niet en concurreert hij met de tunnel nergens om. De grens is even structureel: andere apps blijven erbuiten, inclusief de apps die het grootste deel van de advertenties tonen die je kwijt wilde.

DNS-filtering heeft randen die je moet kennen

Een filterende resolver beantwoordt naamopzoekingen, dus hij voorkomt dat een geblokkeerde hostnaam überhaupt wordt opgelost. Hij kan niet in een pagina kijken: als de advertentie van dezelfde hostnaam wordt geserveerd als het artikel, is de opzoeking legitiem en komt de advertentie alsnog. Hij geldt ook alleen voor opzoekingen die hem gebruiken, en een app met een eigen versleutelde resolver kan de systeeminstelling volledig negeren.

Op Android is de instelling voor privé-DNS het punt waar dit scherp wordt, omdat een bedrijfstunnel een privé-resolver kan installeren voor interne namen. Die vervangen door een openbare filterende resolver om advertenties te blokkeren breekt die namen, wat een slechter resultaat is dan de advertenties. Controleer de instelling voordat je hem wijzigt en behoud wat de tunnel nodig heeft.

Verifieer, en laat de tunnel daarna met rust

Test de opstelling die je koos in plaats van twee pictogrammen te vertrouwen. Verbind de tunnel, bevestig dat de VPN-lijst de dienst toont die je verwacht, open dan een pagina met een bekende advertentieplek en een app waarvan je weet dat die advertenties toont, en kijk welke schoon uitkomt. Zet het filter uit en herhaal het, zodat je weet dat het verschil van het filter komt en niet van een pagina in de cache.

Als de combinatie niet werkt, verwijder dan een van de twee in plaats van beide te schakelen. Schakelen laat je raden welke app de plek won, en het verbergt de echte beperking in plaats van ermee te werken.

Een paar wijzigingen horen hier niet bij: het apparaat rooten, andere applicaties wijzigen of HTTPS onderscheppen met een nieuw vertrouwd certificaat. Dat zijn wezenlijk andere beslissingen met hun eigen risico's, en gewone browserfiltering heeft er geen enkele van nodig. Als een gids daar begint, lost die een ander probleem op.