Ikona VPN w Androidzie jest włączona, więc dlaczego ruch nie idzie przez tunel?

Klucz VPN jest na pasku stanu, przeglądarka wczytuje stronę, a adres raportowany przez witrynę to nadal twoje domowe łącze. Ta kombinacja jest w Androidzie normalna, bo ikona mówi, że aplikacja posiada wirtualny interfejs sieciowy, a nie że ruch wychodzi przez zdalny serwer. Lokalna aplikacja filtrująca korzysta z tego samego mechanizmu. Sprawdź, co usługa naprawdę robi, zanim obwinisz dostawcę.

Ikona oznacza, że usługa VPN posiada interfejs

Usługa VPN w Androidzie pozwala aplikacji utworzyć wirtualny interfejs i odbierać pakiety, które są do niego kierowane. Co stanie się dalej, zależy wyłącznie od tej aplikacji: może je przekazać do zdalnego serwera, odfiltrować albo odrzucić. Ikona klucza informuje, że usługa trzyma interfejs, a nie gdzie idą pakiety. Dlatego aplikacja filtrująca i pełny tunel wyglądają na pasku stanu identycznie.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Jednocześnie może być aktywna tylko jedna usługa VPN na użytkownika lub profil, co jest udokumentowanym zachowaniem, a nie błędem. Gdy druga aplikacja próbuje się połączyć, przejmuje kontrolę albo zawodzi, a ruch pierwszej nie jest już obsługiwany. Jeśli aplikacja filtrująca kończy działanie w chwili, gdy łączysz tunel, ta konkurencja jest prawdopodobną przyczyną.

Profil natywny lub VPN aplikacji: nie są wymienne

Profil IKEv2 dostarczany przez platformę i aplikacja implementująca OpenVPN lub WireGuard to różne produkty z różnymi menu. API platformy dla IKEv2 istnieje od określonej wersji Androida, a kompilacje producentów nie wszystkie pokazują te same opcje w tym samym miejscu. Zrzut ekranu z innego telefonu nie jest dokumentem zgodności.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Dopasuj protokół do klienta, który go obsługuje, i pobierz profil zweryfikowanym kanałem dostawcy, zamiast wklejać go do niepowiązanego formularza. Adres punktu końcowego mówi, gdzie się połączyć, a nie która aplikacja potrafi mówić tym protokołem. Traktuj eksportowane profile i kody QR jak dane logowania, bo obraz QR może zawierać cały klucz. Jeśli profil wydano dla innego klienta, wydaj go ponownie, a nie konwertuj.

Reguły dla aplikacji i profile służbowe zmieniają zakres

Android obsługuje konfiguracje VPN dla poszczególnych aplikacji, więc przeglądarka może być poza tunelem, podczas gdy aplikacja poczty jest w środku. Profil prywatny i służbowy to osobne konteksty z własną aktywną usługą. Sprawdzanie adresu z niewłaściwej aplikacji to jeden z najczęstszych błędnych wniosków w tej dziedzinie.

Spójrz na listy dołączania i wykluczania, a potem testuj z aplikacją, na której naprawdę ci zależy. Tunel profilu służbowego nie obejmuje aplikacji prywatnych, a tunel prywatny nie obejmuje aplikacji służbowych. To samo rozdzielenie wyjaśnia, dlaczego zasób firmowy działa w jednym profilu, a w innym zawodzi bez widocznej różnicy w konfiguracji. Zanotuj kontekst profilu w zgłoszeniu, bo zmienia on nawet to, które ustawienia obowiązują.

Zatrzymaj się, jeśli testowana aplikacja nie jest w zakresie tunelu. To wybór polityki, a nie usterka.

Sprawdź, co naprawdę opuściło telefon

Testuj cele publiczne i prywatne, obie rodziny adresów i obie sieci dostępu. Potem porównaj wynik z własnym zakresem aplikacji, bo udane wczytanie strony w jednej aplikacji nic nie mówi o drugiej. Powtórz po przełączeniu z Wi-Fi na dane mobilne, ponieważ ponowne połączenie może trafić na inną ścieżkę.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN i opcja blokująca połączenia bez VPN są powiązane, ale różne, a ścisła blokada może zepsuć logowanie do portalu captive, dopóki nie zastosujesz się do udokumentowanej procedury. Ustawienia Private DNS mogą też wchodzić w interakcję z resolverem profilu, więc ślepe zastąpienie DNS organizacji tworzy nową awarię. Jeśli tunel ginie przy blokadzie ekranu, przeczytaj wskazówki dla programistów VPN o działaniu w tle i optymalizacji baterii, zanim cokolwiek przeinstalujesz.

Objawem, który trzeba mieć z tyłu głowy, jest luka między ikoną a ścieżką. Klucz oznacza, że usługa posiada interfejs; tylko test z właściwej aplikacji w właściwej sieci mówi, gdzie poszedł ruch. Sprawdź oba, a następne zgłoszenie zepsutego VPN będzie znacznie łatwiej umiejscowić.