O ícone de VPN do Android está ligado, então por que o tráfego não passa pelo túnel?

A chave VPN está na barra de status, o navegador carrega uma página e o endereço que um site informa ainda é a sua conexão de casa. Essa combinação é normal no Android, porque o ícone diz que um aplicativo possui uma interface de rede virtual, não que o seu tráfego sai por um servidor remoto. Um aplicativo local de filtragem usa o mesmo recurso. Verifique o que o serviço realmente faz antes de culpar o provedor.

O ícone significa que um serviço de VPN possui a interface

O serviço de VPN do Android permite que um aplicativo crie uma interface virtual e receba os pacotes roteados para ela. O que acontece depois depende inteiramente desse aplicativo: ele pode encaminhá-los a um servidor remoto, filtrá-los ou descartá-los. O ícone da chave informa que um serviço mantém a interface, não para onde os pacotes vão. Por isso um aplicativo de filtragem e um túnel completo parecem iguais na barra de status.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Só um serviço de VPN pode estar ativo por vez por usuário ou perfil, o que é um comportamento documentado e não um bug. Quando um segundo aplicativo tenta se conectar, ou assume o controle ou falha, e o tráfego do primeiro deixa de ser tratado. Se um aplicativo de filtragem encerra no momento em que você conecta um túnel, essa concorrência é o motivo provável.

Perfil nativo ou VPN de aplicativo: não são intercambiáveis

Um perfil IKEv2 fornecido pela plataforma e um aplicativo que implementa OpenVPN ou WireGuard são produtos diferentes com menus diferentes. A API da plataforma para IKEv2 existe desde uma versão específica do Android, e as compilações dos fabricantes não expõem todas as mesmas opções no mesmo lugar. Uma captura de tela de outro telefone não é um documento de compatibilidade.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Combine o protocolo com o cliente que o suporta e obtenha o perfil pelo canal verificado do provedor em vez de colá-lo em um formulário sem relação. Um endereço de ponto final diz onde se conectar, não qual aplicativo sabe falar o protocolo. Trate os perfis exportados e os códigos QR como credenciais, porque uma imagem QR pode conter a chave completa. Se o perfil foi emitido para outro cliente, reemita-o em vez de convertê-lo.

As regras por aplicativo e os perfis de trabalho mudam o escopo

O Android oferece suporte a configurações de VPN por aplicativo, então um navegador pode ficar fora do túnel enquanto um aplicativo de e-mail está dentro. Os perfis pessoal e de trabalho são contextos separados com seu próprio serviço ativo. Verificar o endereço a partir do aplicativo errado é uma das conclusões falsas mais comuns nessa área.

Veja as listas de inclusão e exclusão e depois teste com o aplicativo que realmente importa para você. O túnel do perfil de trabalho não cobre aplicativos pessoais, e um túnel pessoal não cobre aplicativos de trabalho. Essa mesma separação explica por que um recurso corporativo funciona em um perfil e falha em outro sem nenhuma diferença visível de configuração. Anote o contexto do perfil no ticket, porque ele muda até quais configurações se aplicam.

Pare se o aplicativo que você está testando não está no escopo do túnel. É uma escolha de política, não uma falha.

Teste o que realmente saiu do telefone

Teste destinos públicos e privados, as duas famílias de endereços e as duas redes de acesso. Depois compare o resultado com o escopo do próprio aplicativo, porque uma página carregada com sucesso em um aplicativo não diz nada sobre o outro. Repita após mudar de Wi-Fi para dados móveis, já que uma reconexão pode cair em um caminho diferente.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

O Always-on VPN e a opção que bloqueia conexões sem VPN estão relacionados, mas são distintos, e um bloqueio rígido pode quebrar o login no portal cativo até que você siga o procedimento documentado. As configurações de Private DNS também podem interagir com o resolvedor do perfil, então substituir o DNS de uma organização às cegas cria uma nova falha. Se o túnel morre quando a tela trava, leia o guia para desenvolvedores de VPN sobre execução em segundo plano e otimização de bateria antes de reinstalar qualquer coisa.

O sintoma que deve ficar em mente é a lacuna entre o ícone e o caminho. A chave significa que um serviço possui a interface; só um teste do aplicativo pretendido na rede pretendida diz para onde o tráfego foi. Verifique os dois, e o próximo relato de VPN quebrada será muito mais fácil de situar.