Android-VPN-melding toont een privéadres: wat dat betekent

Je trekt het meldingenpaneel omlaag, tikt op de blijvende VPN-melding en er staat iets als 10.13.0.42/30 naast een verbonden status. Dat getal is het adres dat de app aan zijn eigen virtuele interface op je telefoon heeft gegeven, dus het beschrijft één lokaal netwerkobject, niet de server die je hebt bereikt of het adres dat een website zal loggen. Niets eraan is geheim, en niets eraan bewijst dat je verkeer gedekt is. De volgorde hieronder is de volgorde die ik gebruik om uit te zoeken wat een melding echt zegt, van de telefoon in mijn hand tot een echte adrescontrole.

Begin bij de melding, niet bij een zoekvak

Een moderne Android-client toont meestal twee verschillende dingen in hetzelfde paneel: een verbindingsstatus en een adresblok. De status zegt dat de tunnel staat. Het adresblok zegt wat de app aan de telefoonkant van die tunnel heeft ingesteld, en clients drukken het af omdat het het eenvoudigste bewijs is dat ze hebben dat de interface bestaat.

Houd de melding lang ingedrukt en open de app-infopagina voordat je iets anders doet. Noteer de pakketnaam en let op of de app in je persoonlijke profiel of in een werkprofiel staat. Twee VPN-clients met vergelijkbare pictogrammen kunnen op één apparaat wonen, en het paneel noemt niet altijd degene die je vermoedt. Als het pictogram onbekend is, is dat de bevinding, en het adres is afleiding.

Er bestaan drie adressen tegelijk

Je telefoon heeft een Wi-Fi- of mobiel adres, de app heeft een adres op zijn tunnelinterface, en een of andere externe gateway heeft het openbare bronadres dat de buitenwereld ziet. Dat zijn drie afzonderlijke toewijzingen, en geen ervan is af te leiden uit de andere twee.

Het tunneladres in de melding is bijna altijd privé. 10.13.0.42 ligt binnen 10.0.0.0/8, een van de bereiken die RFC 1918 reserveert, dus elke aanbieder mag hetzelfde nummer uitgeven. Het zien ervan zegt dat de app een privépool gebruikte, niet waar die pool wordt gehost. Twee telefoons op verschillende continenten kunnen dezelfde waarde melden.

Dat hergebruik is de reden dat het adres niet als vingerafdruk kan dienen. Een tweede aanbieder kan hetzelfde blok gebruiken, omdat niets de pools tussen bedrijven coördineert. Aanbieders kiezen ze uit gewoonte en naar wat hun gateway-configuratie al verwacht.

Lees /30 als een prefix, niet als een aantal

Het getal na de schuine streep is de prefixlengte. Hier betekent /30 dertig bits netwerkprefix, wat twee bits voor hosts overlaat, dus het blok omvat 10.13.0.40 tot 10.13.0.43. Het zijn geen dertig apparaten, en het is geen server dertig hops verderop.

Kleine prefixes zoals deze komen veel voor op punt-naar-punt-tunnelverbindingen: één bruikbaar adres voor de telefoon, één voor het verre uiteinde. Of de app die indeling echt aanhoudt, is een eigenschap van zijn configuratie. Behandel de prefix als een hint over hoe de app is ontworpen, niet als een kaart van het netwerk van de aanbieder.

Bevestig de tunnel vanaf de telefoon

Instellingen, dan Netwerk en internet, dan VPN vermeldt het actieve profiel en de app die het bezit. Dat scherm is gezaghebbend over welke client verbonden is. De melding is er alleen een samenvatting van. Als de twee het oneens zijn, vertrouw dan op het instellingenscherm en behandel de melding als verouderd.

Als je een geautoriseerde diagnostische integratie bouwt, legt het geselecteerde Network-object linkadressen en een interfacenaam bloot via LinkProperties. Noteer het profiel en het netwerk waarop je hebt bemonsterd, want een momentopname op het verkeerde netwerk beantwoordt een vraag die niemand stelde.

Shell-toegang is minder betrouwbaar dan mensen verwachten. Interfacenamen verschillen per release en fabrikant. Een filter dat alleen overeenkomt met een IPv4-regel die tun bevat, slaat stilletjes IPv6-toewijzingen over en elke client die zijn interface anders noemt. Lees de volledige lijst voordat je die vernauwt.

Kijk wat een website ziet vanuit de app die je belangrijk vindt

Laad een openbare adrescontrole in de browser en herhaal de controle dan in de app die je echt wilt beschermen. Als beide hetzelfde bronadres melden, draagt de tunnel beide. Als ze verschillen, is routering per app of split tunneling in het spel.

Twee configuraties leveren een gezonde melding zonder enige externe uitgang. Een lokale filterapp kan een tunnelinterface maken om DNS te inspecteren of advertenties te blokkeren zonder enige server. Een alleen-privé-VPN kan worden gebouwd om een thuisnetwerk te bereiken terwijl gewoon browsen direct blijft. In beide gevallen is het adres in het paneel echt en de dekking die je aannam niet.

Bepaal of de melding een tweede blik verdient

Een onverwachte VPN-melding is het onderzoeken waard als geïnstalleerde app, niet als adres. Controleer de eigenaar van het profiel, de rechten van de apparaatbeheerder en alles wat is toegevoegd sinds je die lijst voor het laatst bekeek. Trek in wat je niet kunt verklaren en houd het paneel daarna weer in de gaten. Komt de melding terug met een profiel dat je herkent, dan heb je je antwoord. Komt hij terug zonder, dan start iets anders de app.

Sluit dan de cirkel: eigenaar-app, actief profiel, bronadres van de app die je belangrijk vindt en de verwachte route. Als alle vier kloppen, is het getal in de melding alleen boekhouding en niets meer.