Omvang van een Android-VPN-reset: wat elke laag werkelijk wist

Android kent vier afzonderlijke bewerkingen die mensen een VPN-reset noemen, en ze wissen verschillende dingen. De cache van een app wissen verwijdert tijdelijke bestanden; de opslag wissen verwijdert het profiel zelf. Een netwerkreset bouwt de connectiviteitsstack opnieuw op, en een fabrieksreset vervangt de partitie met gebruikersgegevens. Kies de bewerking op basis van de toestand die je vermoedt, niet uit gewoonte. Gok je verkeerd, dan is het profiel of het aanmeldpad dat je nodig had weg voordat je iets hebt gediagnosticeerd.

Dit is de regel die ik bij elk gesprek gebruik: benoem de toestand, benoem de eigenaar, en verwijder dan alleen de kopie van die eigenaar. De rest van deze pagina gaat over welke Android-component welke bytes vasthoudt.

Waar een Android-VPN-profiel echt leeft

Een client van een derde partij op een niet-beheerde telefoon houdt het profiel in zijn eigen app-gegevensmap, als voorkeurenbestand, JSON-blob of kleine SQLite-database. Die map is wat de optie Opslag wissen in Instellingen verwijdert. Het profiel staat niet in de systeem-VPN-lijst: die lijst bevat de verbindingsregistratie die de client via VpnService heeft aangemeld, met de verbindingsnaam, het eigenaarspakket en elke altijd-aan-vlag die de gebruiker heeft ingesteld.

VpnService is loodgieterswerk, geen opslag. De client vraagt één keer om toestemming, bouwt een tun-interface en verplaatst zelf pakketten, dus het platform hoeft nooit het profielformaat te begrijpen. Daarom wordt een configuratiebestand dat van een andere telefoon is gekopieerd vaak als leeg profiel geïmporteerd of faalt de validatie.

Inloggegevens volgen een ander pad. Een sleutel of certificaat dat via de KeyChain van het systeem is verkregen, blijft in een systeembeheerde opslag, dus het wissen van app-gegevens kan de inloggegevens bruikbaar laten en alleen de alias van de client ernaar verwijderen.

Beheerde apparaten voegen een tweede eigenaar toe. Een werkprofiel dat door een EMM is gemaakt, draait zijn eigen kopie van de client onder zijn eigen beleid, en een altijd-aan-VPN kan door apparaatbeleid worden vastgezet zodat de gebruiker hem niet kan loskoppelen. Op zulke apparaten wordt het profiel meestal bij de inschrijving geleverd en niet handmatig getypt. Herstel is dan een beslissing over opnieuw inschrijven, niet over opnieuw importeren.

Cache, opslag, netwerkreset, fabrieksreset

De vier bewerkingen komen overeen met deze grenzen. Lees de rij voor de toestand die je vermoedt voordat je iets aanraakt.

Cache wissen is het veiligst en het minst nuttig. Het verwijdert tijdelijke bestanden, en dat is ook waar een client de log kan hebben gezet die een supportmedewerker net van je vroeg. De gids van Android voor het oplossen van app-problemen behandelt cache en opslag als twee verschillende verwijderingen, en dat zou jij ook moeten doen.

Opslag wissen is de echte reset per app. Het verwijdert het profiel, de opgeslagen gateway en de vertrouwensvlaggen die de client voor bepaalde netwerken aanhield. Het trekt KeyChain-items niet in, verwijdert geen systeem-VPN-registratie die van een andere app is, en verwijdert op een beheerd profiel niet het beleid dat het profiel oorspronkelijk heeft gepusht.

De netwerkreset in Instellingen geldt voor het hele apparaat, en de exacte omvang verandert met fabrikant en Android-versie. De bevestigingsdialoog op jouw build is de enige betrouwbare uitspraak over wat hij zal vergeten.

Noteer eerst de weg terug

Schrijf voor elke destructieve stap vijf dingen op: clientversie, profielnaam, gatewayadres, eigenaar van de dienst en de exacte fase waarin de verbinding mislukt.

Die vijf feiten scheiden een clientfout van een beleids- of serverfout. Een time-out, een certificaatweigering en een onmiddellijke weigering zijn drie verschillende fouten, en elk wijst naar een andere eigenaar. Wis je eerst de opslag, dan verlies je het bewijs aan de clientkant dat ze zou hebben onderscheiden. Bewaar een opgeschoonde kopie van de log zolang die nog bestaat.

Bevestig daarna hoe de verbinding opnieuw zou worden gemaakt. Een weergavenaam en een hostnaam zijn niet genoeg wanneer het profiel afhing van een clientcertificaat, een beheerde configuratie of een MFA-inschrijving die aan dit apparaat is gebonden.

De bootstrap-blokkade waar niemand op rekent

Eén faalmodus verdient een eigen sectie. Als de enige plek om het profiel te downloaden een intern portaal is dat alleen bereikbaar is via de tunnel die je op het punt staat te verwijderen, dan maakt opslag wissen een doodlopende weg zonder uitweg in de app.

Een altijd-aan-VPN met de optie verbindingen zonder VPN blokkeren maakt daar een volledige storing van: de telefoon heeft geen werkende route naar het portaal, en de client heeft geen profiel om de tunnel op te zetten. De twee toestanden houden elkaar op hun plaats.

De uitweg is procedureel, niet technisch. Exporteer of fotografeer de configuratie terwijl de tunnel nog werkt, bevestig dat het portaal een route heeft die niet van de VPN afhangt, en wis pas daarna iets. Vraag op een beheerd apparaat de beheerder welke herstelroute bestaat voordat je het profiel aanraakt.

Controleer de herbouwde tunnel

Test zodra het profiel terug is in volgorde: naamresolutie, een TCP-verbinding naar een bekende interne host en het foutblokkerende gedrag waar je echt op vertrouwt. De volgorde is belangrijk omdat een tunnel kan opkomen en toch DNS lekken.

Een sleutelpictogram in de statusbalk bewijst dat de interface bestaat, meer niet.

Als de verbinding na een gerichte reset nog steeds mislukt, stop dan met het vergroten van de bewerking. Bewaar het bewijs voor en na, noteer welke laag je hebt gewist, en geef de zaak aan de eigenaar van de component met die vijf feiten. Een fabrieksreset is een aparte beslissing met veel hogere kosten, en het is niet de volgende stap in een VPN-checklist.