VPN-varsel på Android viser en privat adresse: hva det betyr

Du åpner varselpanelet, trykker på det vedvarende VPN-varselet, og det står noe som 10.13.0.42/30 ved siden av tilkoblet status. Tallet er adressen appen har tildelt sitt eget virtuelle grensesnitt på telefonen din, og beskriver dermed ett lokalt nettverksobjekt – ikke tjeneren du nådde, og ikke adressen en nettside vil loggføre. Ingenting av dette er hemmelig, og ingenting av det beviser at trafikken din er dekket. Fremgangsmåten under er den jeg bruker for å finne ut hva et varsel egentlig forteller, fra telefonen i hånden til en reell adressekontroll.

Begynn med varselet, ikke med et søkefelt

En moderne Android-klient viser vanligvis to forskjellige ting i samme panel: tilkoblingsstatus og en adresseblokk. Statusen sier at tunnelen er oppe. Adresseblokken sier hva appen har satt opp på telefonsiden av tunnelen, og klienter viser den fordi det er det enkleste beviset de har på at grensesnittet eksisterer.

Hold varselet inne og åpne appens informasjonsside før du gjør noe annet. Skriv ned pakkenavnet, og legg merke til om appen ligger i den personlige profilen din eller i en jobbprofil. To VPN-klienter med lignende ikoner kan bo på samme enhet, og panelet navngir ikke alltid den du forutsetter. Er ikonet ukjent, er det selve funnet, og adressen er en distraksjon.

Tre adresser finnes samtidig

Telefonen har en Wi-Fi- eller mobiladresse, appen har en adresse på tunnelgrensesnittet, og en ekstern gateway har den offentlige kildeadressen omverdenen ser. Dette er tre separate tildelinger, og ingen av dem kan utledes fra de to andre.

Tunneladressen i varselet er nesten alltid privat. 10.13.0.42 ligger innenfor 10.0.0.0/8, ett av områdene som RFC 1918 reserverer, så enhver leverandør står fritt til å dele ut samme nummer. Å se den forteller at appen brukte en privat pool, ikke hvor den poolen ligger. To telefoner på hvert sitt kontinent kan rapportere identisk verdi.

Nettopp denne gjenbruken gjør at adressen ikke kan fungere som fingeravtrykk. En annen leverandør kan bruke samme blokk, fordi ingenting samordner poolene mellom selskaper. Leverandørene velger dem av vane og ut fra hva gateway-oppsettet deres allerede forventer.

Les /30 som et prefiks, ikke som et antall

Tallet etter skråstreken er prefikslengden. Her betyr /30 tretti biter nettverksprefiks, som gir to biter til verter, slik at blokken dekker 10.13.0.40 til 10.13.0.43. Det er ikke tretti enheter, og det er ikke en tjener tretti hopp unna.

Små prefikser som dette er vanlige på punkt-til-punkt-tunnelforbindelser: én brukbar adresse til telefonen og én til den fjerne enden. Hvorvidt appen faktisk beholder denne ordningen, er en egenskap ved konfigurasjonen. Behandle prefikset som et hint om hvordan appen er utformet, ikke som et kart over leverandørens nettverk.

Bekreft tunnelen fra telefonen

Innstillinger, deretter Nettverk og internett, deretter VPN viser den aktive profilen og appen som eier den. Denne skjermen er avgjørende for hvilken klient som er tilkoblet. Varselet er bare et sammendrag av den. Når de to sier ulike ting, skal du stole på innstillingene og behandle varselet som utdatert.

Hvis du bygger en autorisert diagnostisk integrasjon, eksponerer det valgte Network-objektet lenkeadresser og et grensesnittnavn gjennom LinkProperties. Noter profilen og nettverket du tok prøven på, fordi et øyeblikksbilde fra feil nettverk besvarer et spørsmål ingen stilte.

Shell-tilgang er mindre pålitelig enn mange tror. Grensesnittnavn varierer med utgivelse og produsent. Et filter som bare matcher en IPv4-linje som inneholder tun, hopper stille over IPv6-tildelinger og enhver klient som kaller grensesnittet sitt noe annet. Les hele listen før du begrenser den.

Se hva et nettsted ser fra appen du er opptatt av

Åpne en offentlig adressekontroll i nettleseren, og gjenta så kontrollen inne i appen du faktisk vil beskytte. Rapporterer begge samme kildeadresse, bærer tunnelen begge. Er de forskjellige, er ruting per app eller delt tunnel i sving.

To konfigurasjoner gir et friskt varsel helt uten ekstern utgang. En lokal filtreringsapp kan opprette et tunnelgrensesnitt for å inspisere DNS eller blokkere annonser uten noen tjener. En rent privat VPN kan settes opp for å nå et hjemmenettverk mens vanlig nettsurfing forblir direkte. I begge tilfeller er adressen i panelet ekte, mens dekningen du antok, ikke er det.

Avgjør om varselet fortjener en ny titt

Et uventet VPN-varsel er verdt å granske som en installert app, ikke som en adresse. Kontroller eieren av profilen, tillatelsene til enhetsadministratoren og alt som er lagt til siden du sist gikk gjennom listen. Trekk tilbake det du ikke kan redegjøre for, og følg deretter med på panelet igjen. Kommer varselet tilbake med en profil du kjenner, har du svaret. Kommer det uten, er det noe annet som starter appen.

Til slutt lukker du sirkelen: eierappen, den aktive profilen, kildeadressen fra appen du er opptatt av, og den forventede ruten. Stemmer alle fire, er tallet i varselet bare regnskap og ikke noe mer.