Сповіщення VPN в Android показує приватну адресу: що це означає

Ви відкриваєте панель сповіщень, натискаєте постійне сповіщення VPN, і воно показує щось на кшталт 10.13.0.42/30 поруч зі станом «підключено». Це число — адреса, яку застосунок призначив своєму віртуальному інтерфейсу на телефоні, тож воно описує один локальний мережевий об’єкт, а не сервер, до якого ви дійшли, і не адресу, яку зафіксує якийсь сайт. Нічого таємного в ній немає, і ніщо в ній не доводить, що ваш трафік покритий. Порядок нижче — той, яким я користуюся, щоб зрозуміти, що насправді каже сповіщення: від телефона в руці до справжньої перевірки адреси.

Почніть зі сповіщення, а не з поля пошуку

Сучасний клієнт Android зазвичай показує в одній панелі дві різні речі: стан з’єднання і блок адреси. Стан каже, що тунель піднятий. Блок адреси каже, що застосунок налаштував на боці телефона в цьому тунелі, і клієнти друкують його, бо це найпростіший доказ існування інтерфейсу.

Перш ніж робити щось інше, утримайте сповіщення й відкрийте сторінку відомостей про застосунок. Запишіть назву пакета й зауважте, чи застосунок у вашому особистому чи робочому профілі. Два клієнти VPN зі схожими значками можуть жити на одному пристрої, і панель не завжди називає того, кого ви припускаєте. Якщо значок незнайомий, це і є знахідка, а адреса — відволікання.

Одночасно існують три адреси

Ваш телефон має адресу Wi-Fi або мобільної мережі, застосунок має адресу на своєму тунельному інтерфейсі, а якийсь віддалений шлюз має публічну адресу джерела, яку бачить зовнішній світ. Це три окремі призначення, і жодне з них не виводиться з двох інших.

Тунельна адреса в сповіщенні майже завжди приватна. 10.13.0.42 лежить усередині 10.0.0.0/8, одного з діапазонів, зарезервованих RFC 1918, тож будь-який провайдер може видавати те саме число. Побачивши її, ви дізнаєтеся, що застосунок використав приватний пул, а не де цей пул розміщено. Два телефони на різних континентах можуть повідомляти однакове значення.

Саме через це повторне використання адреса не може бути відбитком. Другий провайдер може взяти той самий блок, бо пули між компаніями нічим не узгоджені. Провайдери обирають їх за звичкою і за тим, чого вже очікує конфігурація їхнього шлюзу.

Читайте /30 як префікс, а не як кількість

Число після скісної риски — довжина префікса. Тут /30 означає тридцять бітів мережевого префікса, що залишає два біти для хостів, тому блок охоплює 10.13.0.40 до 10.13.0.43. Це не тридцять пристроїв і не сервер за тридцять переходів.

Малі префікси, як цей, типові для тунельних з’єднань «точка-точка»: одна придатна адреса для телефона й одна для дальнього кінця. Чи справді застосунок зберігає таку схему — властивість його конфігурації. Сприймайте префікс як підказку про те, як спроєктовано застосунок, а не як карту мережі провайдера.

Підтвердьте тунель із телефона

Налаштування, потім Мережа й інтернет, потім VPN перелічують активний профіль і застосунок, якому він належить. Саме цей екран визначає, який клієнт підключений. Сповіщення — лише його стислий виклад. Коли вони розходяться, довіряйте екрану налаштувань, а сповіщення вважайте застарілим.

Якщо ви будуєте дозволену діагностичну інтеграцію, вибраний об’єкт Network показує адреси з’єднання та ім’я інтерфейсу через LinkProperties. Запишіть профіль і мережу, у якій ви взяли вибірку, бо знімок, зроблений у неправильній мережі, відповідає на питання, якого ніхто не ставив.

Доступ через shell менш надійний, ніж очікують люди. Імена інтерфейсів різняться залежно від випуску й виробника. Фільтр, що збігається лише з рядком IPv4, який містить tun, тихо пропустить призначення IPv6 і будь-якого клієнта, що називає свій інтерфейс інакше. Прочитайте повний список, перш ніж звужувати його.

Подивіться, що бачить сайт із потрібного вам застосунку

Відкрийте в браузері публічну перевірку адреси, а потім повторіть перевірку всередині застосунку, який ви справді хочете захистити. Якщо обидва повідомляють ту саму адресу джерела, тунель несе обидва. Якщо вони різняться, працює маршрутизація за застосунками або розділене тунелювання.

Дві конфігурації дають здорове сповіщення зовсім без віддаленого виходу. Локальний застосунок фільтрації може створити тунельний інтерфейс, щоб перевіряти DNS або блокувати рекламу без жодного сервера. VPN лише для приватної мережі можна збудувати для доступу до домашньої мережі, поки звичайне переглядання залишається прямим. В обох випадках адреса на панелі справжня, а припущене покриття — ні.

Вирішіть, чи сповіщення варте другого погляду

Неочікуване сповіщення VPN варто дослідити як установлений застосунок, а не як адресу. Перевірте власника профілю, дозволи адміністратора пристрою й усе, що додалося відтоді, як ви востаннє переглядали цей список. Відкличте те, чого не можете пояснити, і знову поспостерігайте за панеллю. Якщо сповіщення повернеться з профілем, який ви знаєте, відповідь у вас є. Якщо повернеться без нього, застосунок запускає щось інше.

Потім замкніть коло: застосунок-власник, активний профіль, адреса джерела з потрібного вам застосунку й очікуваний маршрут. Якщо всі чотири збігаються, число в сповіщенні — просто облік, і нічого більше.