Pictograma VPN din Android este aprins, deci de ce traficul nu trece prin tunel?

Cheia VPN este în bara de stare, browserul încarcă o pagină, iar adresa raportată de un site este încă conexiunea de acasă. Această combinație este normală pe Android, pentru că pictograma spune că o aplicație deține o interfață de rețea virtuală, nu că traficul iese printr-un server la distanță. O aplicație locală de filtrare folosește același mecanism. Verificați ce face de fapt serviciul înainte de a învinui furnizorul.

Pictograma înseamnă că un serviciu VPN deține interfața

Serviciul VPN din Android permite unei aplicații să creeze o interfață virtuală și să primească pachetele direcționate către ea. Ce se întâmplă mai departe depinde în întregime de acea aplicație: le poate trimite către un server la distanță, le poate filtra sau le poate elimina. Pictograma cheii raportează că un serviciu ține interfața, nu unde merg pachetele. De aceea o aplicație de filtrare și un tunel complet arată la fel în bara de stare.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Doar un serviciu VPN poate fi activ o dată pentru fiecare utilizator sau profil, ceea ce este un comportament documentat, nu o eroare. Când o a doua aplicație încearcă să se conecteze, fie preia controlul, fie eșuează, iar traficul primeia nu mai este tratat. Dacă o aplicație de filtrare se închide în momentul în care conectați un tunel, acea concurență este cauza probabilă.

Profil nativ sau VPN de aplicație: nu sunt interschimbabile

Un profil IKEv2 oferit de platformă și o aplicație care implementează OpenVPN sau WireGuard sunt produse diferite cu meniuri diferite. API-ul platformei pentru IKEv2 există de la o anumită versiune de Android, iar build-urile producătorilor nu expun toate aceleași opțiuni în același loc. O captură de ecran de pe alt telefon nu este un document de compatibilitate.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Potriviți protocolul cu clientul care îl suportă și obțineți profilul prin canalul verificat al furnizorului, în loc să îl lipiți într-un formular fără legătură. O adresă de punct final spune unde să vă conectați, nu ce aplicație poate vorbi protocolul. Tratați profilurile exportate și codurile QR ca acreditări, pentru că o imagine QR poate conține cheia completă. Dacă profilul a fost emis pentru alt client, reemiteți-l în loc să îl convertiți.

Regulile pe aplicație și profilurile de lucru schimbă domeniul

Android acceptă configurații VPN pe aplicație, așa că un browser poate fi în afara tunelului în timp ce o aplicație de e-mail este înăuntru. Profilul personal și cel de lucru sunt contexte separate cu propriul serviciu activ. Verificarea adresei din aplicația greșită este una dintre cele mai frecvente concluzii false din acest domeniu.

Uitați-vă la listele de includere și excludere, apoi testați cu aplicația care contează cu adevărat pentru dumneavoastră. Tunelul profilului de lucru nu acoperă aplicațiile personale, iar un tunel personal nu acoperă aplicațiile de lucru. Aceeași separare explică de ce o resursă corporativă funcționează într-un profil și eșuează în altul fără nicio diferență vizibilă de configurare. Notați contextul profilului în tichet, pentru că schimbă chiar și ce setări se aplică.

Opriți-vă dacă aplicația pe care o testați nu este în domeniul tunelului. Este o alegere de politică, nu o defecțiune.

Testați ce a plecat efectiv de pe telefon

Testați destinații publice și private, ambele familii de adrese și ambele rețele de acces. Apoi comparați rezultatul cu domeniul propriu al aplicației, pentru că o pagină încărcată cu succes într-o aplicație nu spune nimic despre cealaltă. Repetați după trecerea de la Wi-Fi la date mobile, deoarece o reconectare poate ajunge pe altă cale.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN și opțiunea care blochează conexiunile fără VPN sunt legate, dar diferite, iar o blocare strictă poate strica autentificarea în portalul captive până când urmați procedura documentată. Setările Private DNS pot interacționa și cu resolverul profilului, așa că înlocuirea orbească a DNS-ului unei organizații creează o nouă defecțiune. Dacă tunelul moare când ecranul se blochează, citiți ghidul pentru dezvoltatorii VPN despre execuția în fundal și optimizarea bateriei înainte de a reinstala ceva.

Simptomul de reținut este decalajul dintre pictogramă și cale. Cheia înseamnă că un serviciu deține interfața; doar un test din aplicația dorită pe rețeaua dorită spune unde a mers traficul. Verificați ambele, iar următorul raport despre un VPN stricat va fi mult mai ușor de plasat.