Biểu tượng VPN trên Android đang bật, vậy tại sao lưu lượng không đi qua đường hầm?

Chìa khóa VPN nằm trên thanh trạng thái, trình duyệt tải một trang, và địa chỉ mà một trang web báo cáo vẫn là kết nối tại nhà của bạn. Sự kết hợp đó là bình thường trên Android, vì biểu tượng nói rằng một ứng dụng sở hữu giao diện mạng ảo, không phải lưu lượng của bạn đi ra qua một máy chủ từ xa. Một ứng dụng lọc cục bộ dùng cùng cơ chế đó. Hãy kiểm tra dịch vụ thực sự làm gì trước khi đổ lỗi cho nhà cung cấp.

Biểu tượng nghĩa là một dịch vụ VPN sở hữu giao diện

Dịch vụ VPN của Android cho phép ứng dụng tạo giao diện ảo và nhận các gói được định tuyến vào đó. Điều gì xảy ra tiếp theo hoàn toàn phụ thuộc vào ứng dụng đó: nó có thể chuyển các gói tới máy chủ từ xa, lọc hoặc bỏ chúng. Biểu tượng chìa khóa báo rằng một dịch vụ giữ giao diện, không phải các gói đi đâu. Vì vậy ứng dụng lọc và một đường hầm đầy đủ trông giống nhau trên thanh trạng thái.

adb shell dumpsys connectivity | grep -i vpn
adb shell settings get global always_on_vpn_app

Chỉ một dịch vụ VPN có thể hoạt động tại một thời điểm cho mỗi người dùng hoặc hồ sơ, đây là hành vi đã được ghi nhận, không phải lỗi. Khi ứng dụng thứ hai cố kết nối, nó hoặc tiếp quản hoặc thất bại, và lưu lượng của ứng dụng đầu không còn được xử lý. Nếu ứng dụng lọc thoát đúng lúc bạn kết nối đường hầm, cuộc cạnh tranh đó là nguyên nhân khả dĩ.

Hồ sơ gốc hay VPN của ứng dụng: chúng không thay thế được cho nhau

Một hồ sơ IKEv2 do nền tảng cung cấp và một ứng dụng triển khai OpenVPN hoặc WireGuard là những sản phẩm khác nhau với menu khác nhau. API của nền tảng cho IKEv2 tồn tại từ một phiên bản Android nhất định, và bản dựng của các nhà sản xuất không phải tất cả đều hiển thị các tùy chọn giống nhau ở cùng một chỗ. Ảnh chụp màn hình từ điện thoại khác không phải tài liệu tương thích.

adb shell getprop ro.build.version.sdk
adb shell dumpsys package com.example.vpn | head -40

Ghép giao thức với ứng dụng khách hỗ trợ nó, và lấy hồ sơ qua kênh đã xác minh của nhà cung cấp thay vì dán nó vào một biểu mẫu không liên quan. Địa chỉ điểm cuối cho biết nơi kết nối, không phải ứng dụng nào nói được giao thức. Hãy coi hồ sơ xuất khẩu và mã QR là thông tin đăng nhập, vì ảnh QR có thể chứa toàn bộ chìa khóa. Nếu hồ sơ được phát cho ứng dụng khác, hãy phát lại thay vì chuyển đổi.

Quy tắc từng ứng dụng và hồ sơ công việc thay đổi phạm vi

Android hỗ trợ cấu hình VPN theo từng ứng dụng, nên trình duyệt có thể ở ngoài đường hầm trong khi ứng dụng thư ở trong. Hồ sơ cá nhân và hồ sơ công việc là những ngữ cảnh riêng với dịch vụ hoạt động của chúng. Kiểm tra địa chỉ từ ứng dụng sai là một trong những kết luận sai phổ biến nhất trong lĩnh vực này.

Xem danh sách bao gồm và loại trừ, rồi thử với ứng dụng bạn thực sự quan tâm. Đường hầm của hồ sơ công việc không bao phủ ứng dụng cá nhân, và đường hầm cá nhân không bao phủ ứng dụng công việc. Cùng sự tách biệt đó giải thích vì sao một tài nguyên doanh nghiệp hoạt động trong một hồ sơ và thất bại trong hồ sơ khác mà không có khác biệt cấu hình nào nhìn thấy. Ghi ngữ cảnh hồ sơ vào phiếu, vì nó thay đổi cả những cài đặt nào được áp dụng.

Dừng lại nếu ứng dụng bạn đang thử không nằm trong phạm vi của đường hầm. Đó là lựa chọn chính sách, không phải sự cố.

Thử xem điều gì thực sự rời khỏi điện thoại

Thử đích công cộng và riêng tư, cả hai họ địa chỉ và cả hai mạng truy cập. Sau đó so sánh kết quả với phạm vi của chính ứng dụng, vì việc tải trang thành công trong một ứng dụng không nói gì về ứng dụng kia. Lặp lại sau khi chuyển từ Wi-Fi sang dữ liệu di động, vì kết nối lại có thể rơi vào một đường khác.

adb shell ip rule
adb shell dumpsys netpolicy | grep -i vpn

Always-on VPN và tùy chọn chặn kết nối khi không có VPN có liên quan nhưng khác nhau, và chặn nghiêm ngặt có thể làm hỏng đăng nhập cổng captive cho đến khi bạn làm theo quy trình đã ghi. Cài đặt Private DNS cũng có thể tương tác với bộ phân giải của hồ sơ, nên việc thay DNS của một tổ chức một cách mù quáng tạo ra một lỗi mới. Nếu đường hầm chết khi khóa màn hình, hãy đọc hướng dẫn cho nhà phát triển VPN về chạy nền và tối ưu pin trước khi cài lại bất cứ thứ gì.

Triệu chứng cần ghi nhớ là khoảng cách giữa biểu tượng và đường đi. Chìa khóa nghĩa là một dịch vụ sở hữu giao diện; chỉ thử nghiệm từ ứng dụng dự định trên mạng dự định mới cho biết lưu lượng đã đi đâu. Kiểm tra cả hai, và báo cáo tiếp theo về VPN hỏng sẽ dễ đặt vị trí hơn nhiều.