Android-VPN-avisering visar en privat adress: vad det betyder

Du drar ned aviseringspanelen, trycker på den beständiga VPN-aviseringen och den visar något som 10.13.0.42/30 bredvid ett anslutet tillstånd. Den siffran är adressen som appen tilldelade sitt eget virtuella gränssnitt på telefonen, så den beskriver ett lokalt nätverksobjekt, inte servern du nådde eller adressen som en webbplats kommer att logga. Inget med den är hemligt, och inget med den bevisar att din trafik är täckt. Ordningen nedan är den jag använder för att ta reda på vad en avisering faktiskt säger, från telefonen i handen till en riktig adresskontroll.

Börja med aviseringen, inte med ett sökfält

En modern Android-klient visar vanligtvis två olika saker i samma panel: ett anslutningstillstånd och ett adressblock. Tillståndet säger att tunneln är uppe. Adressblocket säger vad appen har konfigurerat på telefonens sida av tunneln, och klienter skriver ut det eftersom det är det enklaste beviset de har för att gränssnittet finns.

Håll in aviseringen och öppna appens informationssida innan du gör något annat. Notera paketnamnet och lägg märke till om appen ligger i din personliga profil eller i en arbetsprofil. Två VPN-klienter med liknande ikoner kan leva på samma enhet, och panelen namnger inte alltid den du antar. Är ikonen okänd är det fyndet, och adressen är en distraktion.

Tre adresser finns samtidigt

Din telefon har en Wi-Fi- eller mobiladress, appen har en adress på sitt tunnelgränssnitt, och någon fjärrgateway har den offentliga källadressen som omvärlden ser. Det är tre separata tilldelningar, och ingen av dem kan härledas från de andra två.

Tunneladressen i aviseringen är nästan alltid privat. 10.13.0.42 ligger inom 10.0.0.0/8, ett av de intervall som RFC 1918 reserverar, så alla leverantörer får dela ut samma nummer. Att se den säger att appen använde en privat pool, inte var den poolen ligger. Två telefoner på olika kontinenter kan rapportera samma värde.

Den återanvändningen är anledningen till att adressen inte kan fungera som fingeravtryck. En andra leverantör kan använda samma block, eftersom ingenting samordnar poolerna mellan företag. Leverantörerna väljer dem av vana och efter vad deras gatewaykonfiguration redan förväntar sig.

Läs /30 som ett prefix, inte som ett antal

Talet efter snedstrecket är prefixlängden. Här betyder /30 trettio bitar nätverksprefix, vilket lämnar två bitar för värdar, så blocket omfattar 10.13.0.40 till 10.13.0.43. Det är inte trettio enheter, och det är inte en server trettio hopp bort.

Små prefix som detta är vanliga på punkt-till-punkt-tunnelförbindelser: en användbar adress för telefonen och en för den bortre änden. Huruvida appen faktiskt behåller den layouten är en egenskap hos dess konfiguration. Behandla prefixet som en antydan om hur appen är designad, inte som en karta över leverantörens nätverk.

Bekräfta tunneln från telefonen

Inställningar, sedan Nätverk och internet, sedan VPN listar den aktiva profilen och appen som äger den. Den skärmen är avgörande för vilken klient som är ansluten. Aviseringen är bara en sammanfattning av den. När de två inte stämmer ska du lita på inställningsskärmen och behandla aviseringen som inaktuell.

Om du bygger en auktoriserad diagnostikintegration exponerar det valda Network-objektet länkadresser och ett gränssnittsnamn via LinkProperties. Anteckna profilen och nätverket du tog provet på, eftersom en ögonblicksbild från fel nätverk besvarar en fråga som ingen ställde.

Shell-åtkomst är mindre tillförlitlig än folk förväntar sig. Gränssnittsnamn varierar med utgåva och tillverkare. Ett filter som bara matchar en IPv4-rad med tun hoppar tyst över IPv6-tilldelningar och varje klient som kallar sitt gränssnitt något annat. Läs hela listan innan du begränsar den.

Se vad en webbplats ser från appen du bryr dig om

Ladda en offentlig adresskontroll i webbläsaren och upprepa sedan kontrollen i appen du faktiskt vill skydda. Om båda rapporterar samma källadress bär tunneln båda. Om de skiljer sig är routning per app eller delad tunnel igång.

Två konfigurationer ger en frisk avisering helt utan fjärrutgång. En lokal filtreringsapp kan skapa ett tunnelgränssnitt för att inspektera DNS eller blockera annonser utan någon server. En endast-privat VPN kan byggas för att nå ett hemmanätverk medan vanligt surfande förblir direkt. I båda fallen är adressen i panelen verklig och den täckning du antog är det inte.

Avgör om aviseringen förtjänar en ny titt

En oväntad VPN-avisering är värd att undersöka som en installerad app, inte som en adress. Kontrollera profilens ägare, enhetsadministratörens behörigheter och allt som lagts till sedan du senast granskade listan. Återkalla det du inte kan förklara och håll sedan koll på panelen igen. Kommer aviseringen tillbaka med en profil du känner igen har du ditt svar. Kommer den tillbaka utan en är det något annat som startar appen.

Stäng sedan cirkeln: ägarappen, den aktiva profilen, källadressen från appen du bryr dig om och den förväntade rutten. Om alla fyra stämmer är siffran i aviseringen bara bokföring och inget mer.