Zakaj promet brezžičnega razhroščevanja ni dokaz uhajanja VPN

Omogočili ste brezžično razhroščevanje, priključili prenosnik in seja je delovala naprej, medtem ko je bil VPN aktiven. Videti je, kot da je nekaj zdrsnilo mimo predora. Skoraj zagotovo ne. Seja razhroščevanja in zahteva aplikacije do spletnega mesta sta različna omrežna odnosa in le eden od njiju bi moral prečkati predor.

S tem napačnim branjem sem se srečal dvakrat: enkrat s telefonom in prenosnikom v istem Wi-Fi, in enkrat po ponovnem zagonu, ko je seznanjanje preživelo. V obeh primerih je VPN počel natanko to, za kar je bil nastavljen.

Poimenujte opažanje, preden poimenujete napako

Pred trditvijo o uhajanju se lahko zgodijo trije dogodki in niso zamenljivi. Orodje lahko odkrije storitev, naprava lahko odobri delovno postajo ali pooblaščena seja lahko v resnici prenaša ukaze in bajte. Zapišite, katerega ste videli, ker vsak dokaže manj, kot ljudje domnevajo.

Odkritje je običajno mDNS ali skeniranje vrat. Seznanjanje je odločitev o registraciji, sprejeta na telefonu, potrjena s kodo, ki jo uporabnik vnese. Živa seja pomeni, da se je promet premikal med dvema seznanjenima končnima točkama. Nič od tega ne opisuje, kam gre zahteva HTTPS aplikacije.

Cilj, vmesnik, družino naslovov, časovni žig in uporabniški profil imejte pritrjene na dogodek. Brez teh podrobnosti opažanja ni mogoče primerjati z načrtovano politiko lokalnega omrežja ali z različico VPN, ki je takrat tekla.

Zakaj se poti nikoli ne srečata

Brezžično razhroščevanje je dohodna povezava do naprave. adbd posluša na vratih, vezanih na vmesnik Wi-Fi, in delovna postaja se po seznanitvi poveže z njimi. Smer je pomembna: vaš prenosnik seže v telefon, ne obratno. To je nasprotje izhodnega uhajanja.

Internetni promet aplikacije zapusti predorski vmesnik, ki ga namesti VpnService, usklajen po UID in pravilih usmerjanja. adbd je sistemski demon, ki teče kot uporabnik shell, ne aplikacija v tem naboru usmerjanja. Ostane na spodnji povezavi Wi-Fi, tudi ko je vsaka aplikacija pripeta na predor.

Način zaklepanja uveljavi predor za zajete aplikacije. Poslušajočega vtiča ne spremeni v izhodno pot.

Zato delujoča seja ADB in delujoče stikalo za izklop obstajata skupaj brez protislovja. Da bi dokazali uhajanje, morate opazovati smer, ki bi morala biti blokirana.

Kako izgleda izhodni test v resnici

Testirajte zajeto aplikacijo, ne kanala razhroščevanja. Namerno ustvarite pogoj napake, nato izvedite eno novo zahtevo in zabeležite, kaj se je zgodilo.

1. Potrdite, da je VPN edina pot: vklopite vedno vklopljen VPN z blokiranjem povezav brez VPN.
2. Ustavite VPN na podprt način in potrdite, da aplikacija poroča o odsotnosti povezljivosti.
3. Pošljite eno neškodljivo zahtevo iz te aplikacije in zabeležite, ali ne uspe ali uspe.
4. Ponovite z vklopljenim in nato izklopljenim brezžičnim razhroščevanjem, da se spremenljivka izolira.

Blokirana zahteva v teh pogojih je dokaz. Uspešna seja ADB ni, prav tako ne en ping iz terminalske aplikacije.

Če zahteva vseeno uspe, medtem ko je zaklepanje vklopljeno, zabeležite UID aplikacije in njeno dovoljenje VPN, aktivno omrežje in različico odjemalca. Ta kombinacija je resnična ugotovitev.

Seznanjanje preživi sejo

Seznanjanje je trajno stanje, ne rokovanje, ki ga lahko pozabite po kabelskem testu. Dokumentacija Android o razhroščevanju opisuje brezžični potek dela in opozarja, da odnos traja, dokler ni izrecno pozabljen ali dokler pooblastila niso preklicana.

Preden obtožite predor, preverite, kaj je še pooblaščeno. Odprite Brezžično razhroščevanje, poglejte Seznanjene naprave in pozabite vse, česar ne prepoznate več. Zaženite adb devices z delovne postaje, da vidite, kateri vnosi še odgovarjajo, in adb disconnect, da zavržete zastarel vnos. Izklop brezžičnega razhroščevanja popolnoma zapre poslušajoča vrata.

V deljenem ali nezanesljivem omrežju naj bo izklopljeno. Trajno pooblastilo v omrežju, ki ga ne nadzorujete, je večja težava kot hipotetično izogibanje TUN.

Preden prijavite to napako

Koristno poročilo poimenuje natančno mejo, ki je odpovedala. Vključite model naprave in različico Android, odjemalca VPN in različico, ali je bilo zaklepanje omogočeno, paket aplikacije in UID ter omrežje, v katerem je bil telefon. Dodajte ukaz ali zahtevo, ki je ustvarila opažanje, in čas, kdaj se je zgodilo. Brez tega nihče ne more ponoviti meje, za katero trdite, da je zlomljena.

Ne onemogočite izvajanja in ne izpostavljajte razhroščevanja v nezanesljivem omrežju, da bi bil test videti bolj dramatičen. To spremeni sistem, ki ga merite, in pusti dokaze, ki jih nihče ne more ponoviti.

Če je vaš edini dokaz to, da se je ADB povezal, medtem ko je bil VPN aktiven, ste merili napačno pot. Najprej znova zaženite test na ravni aplikacije; odgovor običajno pride tam.