Het Android-VPN-pictogram staat aan, waarom gaat het verkeer dan niet door de tunnel?

Je VPN-sleutel staat in de statusbalk, de browser laadt een pagina en het adres dat een website meldt is nog steeds je thuisverbinding. Die combinatie is normaal op Android, want het pictogram zegt dat een app een virtuele netwerkinterface bezit, niet dat je verkeer via een externe server naar buiten gaat. Een lokale filter-app gebruikt dezelfde voorziening. Controleer wat de dienst werkelijk doet voordat je de provider de schuld geeft.

Het pictogram betekent dat een VPN-dienst de interface bezit

De VPN-dienst van Android laat een app een virtuele interface maken en de pakketten ontvangen die erheen worden gerouteerd. Wat daarna gebeurt, ligt volledig bij die app: ze kan ze doorsturen naar een externe server, filteren of laten vallen. Het sleutelpictogram meldt dat een dienst de interface vasthoudt, niet waar de pakketten heen gaan. Daarom zien een filter-app en een volledige tunnel er in de statusbalk hetzelfde uit.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Per gebruiker of profiel kan er tegelijk maar één VPN-dienst actief zijn, wat gedocumenteerd gedrag is en geen bug. Wanneer een tweede app probeert te verbinden, neemt die het over of mislukt, en het verkeer van de eerste wordt niet meer behandeld. Als een filter-app stopt op het moment dat je een tunnel verbindt, is die concurrentie de waarschijnlijke oorzaak.

Inheems profiel of app-VPN: ze zijn niet uitwisselbaar

Een IKEv2-profiel dat het platform levert en een app die OpenVPN of WireGuard implementeert, zijn verschillende producten met verschillende menu's. De platform-API voor IKEv2 bestaat vanaf een bepaalde Android-versie, en fabrieksbuilds tonen niet allemaal dezelfde opties op dezelfde plek. Een schermafbeelding van een andere telefoon is geen compatibiliteitsdocument.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Koppel het protocol aan de client die het ondersteunt en haal het profiel via het geverifieerde kanaal van de provider in plaats van het in een ongerelateerd formulier te plakken. Een eindpuntadres zegt waar je verbinding maakt, niet welke app het protocol kan spreken. Behandel geëxporteerde profielen en QR-codes als inloggegevens, want een QR-afbeelding kan de volledige sleutel bevatten. Is het profiel voor een andere client uitgegeven, geef het dan opnieuw uit in plaats van het om te zetten.

Regels per app en werkprofielen veranderen het bereik

Android ondersteunt VPN-configuraties per app, dus een browser kan buiten de tunnel staan terwijl een mailapp erin zit. Persoonlijk en werkprofiel zijn aparte contexten met hun eigen actieve dienst. Het adres controleren vanuit de verkeerde app is een van de meest voorkomende verkeerde conclusies op dit gebied.

Bekijk de insluit- en uitsluitlijsten en test dan met de app die je echt belangrijk vindt. Een werkprofieltunnel dekt geen persoonlijke apps, en een persoonlijke tunnel dekt geen werkapps. Diezelfde scheiding verklaart waarom een bedrijfsbron in het ene profiel werkt en in het andere faalt zonder zichtbaar configuratieverschil. Noteer de profielcontext in het ticket, want die verandert zelfs welke instellingen gelden.

Stop als de app die je test niet binnen het bereik van de tunnel valt. Dat is een beleidskeuze, geen storing.

Test wat de telefoon werkelijk heeft verlaten

Test openbare en privébestemmingen, beide adresfamilies en beide toegangsnetwerken. Vergelijk het resultaat daarna met het eigen bereik van de app, want een geslaagde paginalading in de ene app zegt niets over de andere. Herhaal het na een overstap van Wi-Fi naar mobiele data, omdat een herverbinding op een ander pad kan belanden.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN en de optie die verbindingen zonder VPN blokkeert, zijn verwant maar verschillend, en een strikte blokkering kan de captive-portal-login breken tot je de gedocumenteerde procedure volgt. Private DNS-instellingen kunnen ook samenspelen met de resolver van het profiel, dus blindelings de DNS van een organisatie vervangen creëert een nieuwe fout. Als de tunnel sterft wanneer het scherm vergrendelt, lees dan de VPN-ontwikkelaarsrichtlijnen over achtergronduitvoering en batterijoptimalisatie voordat je iets herinstalleert.

Het symptoom dat je in het oog moet houden, is de kloof tussen het pictogram en het pad. De sleutel betekent dat een dienst de interface bezit; alleen een test vanuit de bedoelde app op het bedoelde netwerk zegt waar het verkeer heen ging. Controleer beide, en het volgende rapport over een kapotte VPN is veel makkelijker te plaatsen.