Обсяг скидання VPN на Android: що насправді стирає кожен рівень
Кеш, сховище застосунку, скидання мережі та скидання до заводських налаштувань стирають різні стани Android. Зіставте рівень із підозрюваним станом, перш ніж видаляти профіль.
В Android є чотири окремі операції, які люди називають скиданням VPN, і вони стирають різне. Очищення кешу застосунку видаляє тимчасові файли; очищення його сховища видаляє сам профіль. Скидання мережі заново будує стек з'єднань, а скидання до заводських налаштувань замінює розділ даних користувача. Обирайте операцію за підозрюваним станом, а не за звичкою. Якщо помилитеся, профіль або шлях реєстрації, який був потрібен, зникне ще до того, як ви щось діагностуєте.
Ось правило, яке я застосовую при кожному зверненні: назвіть стан, назвіть його власника, а потім видаліть лише копію цього власника. Решта сторінки — про те, який компонент Android зберігає які байти.
Де насправді живе профіль VPN в Android
Сторонній клієнт на некерованому телефоні тримає профіль у власному каталозі даних застосунку — як файл налаштувань, блок JSON або невелику базу SQLite. Саме цей каталог видаляє пункт Очистити сховище в Налаштуваннях. Профілю немає в системному списку VPN: той список містить запис про з'єднання, який клієнт зареєстрував через VpnService, і включає назву з'єднання, пакет-власник і будь-який прапорець постійного ввімкнення, який задав користувач.
VpnService — це сантехніка, а не сховище. Клієнт один раз просить згоду, будує інтерфейс tun і сам переміщує пакети, тому платформі ніколи не потрібно розуміти формат профілю. Саме тому файл конфігурації, скопійований з іншого телефону, часто імпортується як порожній профіль або не проходить перевірку.
Облікові дані йдуть іншим шляхом. Ключ або сертифікат, отриманий через системний KeyChain, залишається в сховищі під керуванням системи, тому видалення даних застосунку може залишити облікові дані придатними, а видалити лише псевдонім клієнта до них.
Керовані пристрої додають другого власника. Робочий профіль, створений EMM, запускає власну копію клієнта за власною політикою, а постійно ввімкнений VPN може бути закріплений політикою пристрою, тож користувач не може його відключити. На таких пристроях профіль зазвичай надається під час реєстрації, а не вводиться вручну. Тоді відновлення — це рішення про повторну реєстрацію, а не про повторний імпорт.
Кеш, сховище, скидання мережі, скидання до заводських налаштувань
Чотири операції відповідають цим межам. Прочитайте рядок для підозрюваного стану, перш ніж щось натискати.
| Operation | What it removes | What survives |
|---|---|---|
| Clear cache | Temporary files, including any diagnostic bundle the client wrote there | Profile, credentials, enrollment |
| Clear storage | The app's preferences, databases and saved profile | KeyChain entries, other apps, device policy |
| Network reset | Wi-Fi, mobile and Bluetooth registrations, and on most builds the saved VPN entries | App data, KeyChain, work profile |
| Factory reset | The user data partition, accounts and device-bound keys | Nothing on the device |
Очищення кешу — найбезпечніше й найменш корисне. Воно видаляє тимчасові файли, а саме там клієнт міг залишити журнал, який агент підтримки щойно попросив у вас. Посібник Android з усунення несправностей застосунків розглядає кеш і сховище як два різні видалення, і вам варто робити так само.
Очистити сховище — це справжнє скидання окремого застосунку. Воно видаляє профіль, збережений шлюз і прапорці довіри, які клієнт тримав для певних мереж. Воно не відкликає записи KeyChain, не видаляє системний запис VPN, що належить іншому застосунку, а в керованому профілі не видаляє політику, яка спочатку надіслала профіль.
Скидання мережі в Налаштуваннях діє на весь пристрій, і його точний обсяг змінюється залежно від виробника та версії Android. Діалог підтвердження у вашій збірці — єдине надійне твердження про те, що він забуде.
Спершу запишіть зворотний шлях
Перед кожним руйнівним кроком запишіть п'ять речей: версію клієнта, назву профілю, адресу шлюзу, власника служби й точну стадію, на якій з'єднання не вдається.
Саме ці п'ять фактів відокремлюють збій клієнта від збою політики або сервера. Тайм-аут, відмова в сертифікаті й негайна відмова — три різні збої, і кожен указує на іншого власника. Якщо спершу очистити сховище, ви втратите докази з боку клієнта, які розрізнили б їх. Збережіть очищену копію журналу, поки він ще існує.
Потім підтвердьте, як з'єднання буде створено заново. Показана назва й ім'я хоста не достатні, коли профіль залежав від клієнтського сертифіката, керованої конфігурації або реєстрації MFA, прив'язаної до цього пристрою.
Блокування початкового налаштування, якого ніхто не планує
Один режим збою заслуговує окремого розділу. Якщо єдине місце для завантаження профілю — внутрішній портал, доступний лише через тунель, який ви збираєтеся видалити, очищення сховища створює глухий кут без виходу в застосунку.
Постійно ввімкнений VPN з параметром блокувати з'єднання без VPN перетворює це на повну відмову: у телефона немає робочого шляху до порталу, а в клієнта немає профілю, щоб підняти тунель. Два стани тримають одне одного на місці.
Вихід процедурний, а не технічний. Експортуйте або сфотографуйте конфігурацію, поки тунель ще працює, переконайтеся, що портал має маршрут, який не залежить від VPN, і лише потім щось очищуйте. На керованому пристрої запитайте адміністратора, який шлях відновлення існує, перш ніж торкатися профілю.
Перевірте відновлений тунель
Коли профіль повернеться, перевіряйте по черзі: розв'язання імен, TCP-з'єднання з відомим внутрішнім хостом і поведінку блокування при збої, на яку ви справді покладаєтеся. Порядок важливий, бо тунель може піднятися і все одно витікати DNS.
Значок ключа в рядку стану доводить, що інтерфейс існує, і нічого більше.
Якщо з'єднання все ще не вдається після цільового скидання, припиніть нарощувати масштаб операції. Збережіть докази до і після, позначте, який рівень ви очистили, і передайте справу власнику компонента разом із тими п'ятьма фактами. Скидання до заводських налаштувань — окреме рішення з набагато вищою ціною, і це не наступний крок у контрольному списку VPN.