Android VPN протікає через NAT-T keepalive попри блокувальний режим

Android відправляє частину трафіку повз VPN навіть тоді, коли ви ввімкнули "Always-on VPN" і "Block connections without VPN" — режим, який має гарантувати, що жоден пакет не покине телефон в обхід тунелю. Дослідники виявили, що механізм NAT-T keepalive, вбудований у системний стек, продовжує слати службові пакети через звичайне з'єднання. Для журналіста в окупації чи військового біля лінії фронту це означає, що заявлений блокувальний режим — не такий герметичний, як напис на кнопці.

Що саме тече назовні

NAT-T (NAT Traversal) — це технологія, яка допомагає зашифрованим з'єднанням пройти крізь домашні й мобільні роутери, що переписують IP-адреси. Щоб роутер не "забув" про відкрите з'єднання і не закрив його, пристрій періодично шле короткий keepalive-пакет — цифровий еквівалент "я ще тут, не кидай трубку".

Проблема в тому, що Android виносить генерацію цих пакетів на рівень операційної системи, нижче за VPN-застосунок. Тому вони йдуть напряму до вашого мобільного оператора чи Wi-Fi-мережі, оминаючи тунель. Самі keepalive не несуть змісту вашого листування. Але вони видають дуже конкретну річ: що ваш пристрій активний, коли він активний, і на яку адресу дивиться. Для того, хто аналізує трафік на рівні провайдера, це маркер присутності — і він переживає навіть увімкнений lockdown-режим.

Kill switch, який пропускає пакети — це не kill switch. Це кнопка, що заспокоює користувача, поки система робить по-своєму.

Як перевірити свій пристрій

Витік можна побачити власними очима, не покладаючись на обіцянки застосунку.

• PCAPdroid — записує весь мережевий трафік телефона локально, без root. Увімкніть VPN у блокувальному режимі, залиште телефон у спокої на кілька хвилин і подивіться, чи є вихідні пакети на адреси, що не належать вашому VPN-серверу.
• Якщо бачите регулярні короткі UDP-пакети на порт вашого оператора з інтервалом у десятки секунд — це і є keepalive поза тунелем.
• Перевірте налаштування самого VPN-застосунку: деякі клієнти (наприклад, WireGuard) керують keepalive всередині тунелю і не залежать від системного механізму NAT-T.

Що дає реальний захист

Системний рівень проблеми означає, що звичайний застосунок з Play Store її повністю не закриє — він працює вище за той шар, що протікає. Найнадійніший шлях сьогодні — GrapheneOS, форк Android для Pixel, орієнтований саме на моделі загроз, у яких живуть журналісти й активісти. У ньому мережеві дозволи й поведінка стека контролюються жорсткіше, ніж у стоковому Android.

Якщо змінити прошивку неможливо, тримайтеся кількох правил. Обирайте VPN-протокол, який не спирається на системний NAT-T — WireGuard замість чистого IPsec/IKEv2. Перед роботою в зоні ризику проженіть трафік через PCAPdroid і переконайтеся, що поза тунелем тихо. І не плутайте увімкнений перемикач із гарантією: перевірена мовчазність мережі важить більше, ніж будь-який напис в інтерфейсі.

Витік keepalive не розкриває змісту ваших повідомлень. Але робота в полі — це часто питання не змісту, а факту: був чи не був, коли, звідки. Саме цей факт Android і віддає назовні через дірку, яку більшість користувачів вважає закритою.