A notificação de VPN do Android mostra um endereço privado: o que significa

Você abre o painel de notificações, toca na notificação persistente de VPN e ela mostra algo como 10.13.0.42/30 ao lado de um estado ligado. Esse número é o endereço que a aplicação atribuiu à sua própria interface virtual no telemóvel, pelo que descreve um objeto de rede local, não o servidor que alcançou nem o endereço que um site irá registar. Nada nele é secreto e nada nele prova que o seu tráfego está coberto. A ordem abaixo é a que uso para perceber o que uma notificação realmente diz, desde o telemóvel na mão até uma verificação real do endereço.

Comece pela notificação, não por uma caixa de pesquisa

Um cliente Android moderno mostra normalmente duas coisas diferentes no mesmo painel: um estado de ligação e um bloco de endereço. O estado diz que o túnel está ativo. O bloco de endereço diz o que a aplicação configurou no lado do telemóvel desse túnel, e os clientes mostram-no porque é a prova mais simples que têm de que a interface existe.

Prima sem soltar a notificação e abra a página de informações da aplicação antes de fazer mais alguma coisa. Anote o nome do pacote e repare se a aplicação está no perfil pessoal ou num perfil de trabalho. Dois clientes de VPN com ícones parecidos podem viver no mesmo dispositivo, e o painel nem sempre nomeia aquele que supõe. Se o ícone não é familiar, essa é a descoberta, e o endereço é uma distração.

Existem três endereços ao mesmo tempo

O telemóvel tem um endereço Wi-Fi ou móvel, a aplicação tem um endereço na sua interface de túnel e alguma gateway remota tem o endereço de origem público que o mundo exterior vê. São três atribuições separadas, e nenhuma pode ser deduzida das outras duas.

O endereço do túnel na notificação é quase sempre privado. 10.13.0.42 está dentro de 10.0.0.0/8, um dos intervalos reservados pela RFC 1918, por isso qualquer fornecedor pode distribuir o mesmo número. Vê-lo diz que a aplicação usou um conjunto privado, não onde esse conjunto está alojado. Dois telemóveis em continentes diferentes podem relatar o mesmo valor.

Essa reutilização é a razão pela qual o endereço não pode servir de impressão digital. Um segundo fornecedor pode usar o mesmo bloco, porque nada coordena os conjuntos entre empresas. Os fornecedores escolhem-nos por hábito e pelo que a configuração da sua gateway já espera.

Leia /30 como prefixo, não como contagem

O número depois da barra é o comprimento do prefixo. Aqui /30 significa trinta bits de prefixo de rede, o que deixa dois bits para hosts, logo o bloco cobre 10.13.0.40 até 10.13.0.43. Não são trinta dispositivos, nem um servidor a trinta saltos de distância.

Prefixos pequenos como este são comuns em ligações de túnel ponto a ponto: um endereço utilizável para o telemóvel e outro para o extremo remoto. Se a aplicação mantém mesmo essa disposição é uma propriedade da sua configuração. Trate o prefixo como uma pista sobre como a aplicação foi desenhada, não como um mapa da rede do fornecedor.

Confirme o túnel a partir do telemóvel

Definições, depois Rede e internet, depois VPN lista o perfil ativo e a aplicação que o possui. Esse ecrã é a autoridade sobre qual cliente está ligado. A notificação é apenas o seu resumo. Quando os dois discordam, confie no ecrã das definições e trate a notificação como desatualizada.

Se estiver a construir uma integração de diagnóstico autorizada, o objeto Network selecionado expõe endereços de ligação e um nome de interface através de LinkProperties. Anote o perfil e a rede onde recolheu a amostra, porque uma captura feita na rede errada responde a uma pergunta que ninguém fez.

O acesso por shell é menos fiável do que as pessoas esperam. Os nomes das interfaces variam com a versão e o fabricante. Um filtro que só corresponde a uma linha IPv4 que contenha tun irá ignorar silenciosamente as atribuições IPv6 e qualquer cliente que dê outro nome à sua interface. Leia a listagem completa antes de a restringir.

Veja o que um site vê a partir da aplicação que lhe importa

Carregue um verificador de endereços público no navegador e repita a verificação dentro da aplicação que quer realmente proteger. Se ambos relatarem o mesmo endereço de origem, o túnel transporta os dois. Se diferirem, está em jogo o encaminhamento por aplicação ou o túnel dividido.

Duas configurações produzem uma notificação saudável sem qualquer saída remota. Uma aplicação de filtragem local pode criar uma interface de túnel para inspecionar DNS ou bloquear anúncios sem qualquer servidor. Uma VPN apenas privada pode ser construída para chegar a uma rede doméstica enquanto a navegação normal continua direta. Em ambos os casos o endereço no painel é real e a cobertura que supôs não é.

Decida se a notificação merece um segundo olhar

Uma notificação de VPN inesperada merece ser investigada como aplicação instalada, não como endereço. Verifique o dono do perfil, as permissões de administrador do dispositivo e tudo o que foi acrescentado desde a última revisão dessa lista. Retire o que não consegue explicar e volte a observar o painel. Se a notificação voltar com um perfil que reconhece, tem a resposta. Se voltar sem nenhum, outra coisa está a iniciar a aplicação.

Depois feche o ciclo: aplicação proprietária, perfil ativo, endereço de origem da aplicação que lhe importa e rota esperada. Se os quatro coincidirem, o número na notificação é apenas contabilidade e nada mais.