По вопросам помощи сообществу (мне)

[jinndi]

Не знаю, чем поможет эта информация, но вот чего мне удалось добиться без ROOT-прав, используя только возможности Android-смартфона без сторонних приложений.

• Версия приложения RKNHardening: 2.6.2
• Настройка VPN и смартфона: описана здесь

Далее привожу свод и расшифровки по тесту наглядно

---

Свод:

---

Прямые признаки:

Оба IP-адреса принадлежат провайдеру

---

Косвенные признаки:

По всей видимости, без ROOT-прав скрыть это невозможно

---

Нативные признаки:

Аналогичная ситуация, MTU 1500 просто прописал в конфиге sing-box, это ответ на вопрос про MTU-нормализацию 🤔

---

Подмена ICMP:

Принцип работы в данном сценарии не до конца ясен: складывается впечатление, что обращения через сам TUN-интерфейс для проверок отсутствуют. То же самое касается и STUN проверок 🤔

[xtclovver]

Принцип работы в данном сценарии не до конца ясен: складывается впечатление, что обращения через сам TUN-интерфейс для проверок отсутствуют.

Потому что буквально после выпуска этой проверки в RKNHardering, в sing-box наконец-то сумели добавить настройку контроля ответов icmp. Раньше ping был <1ms что давало очевидное подозрение на sing-box, ибо у мобильного пользователя не может быть ping до google.com <1ms. Тут ловля на это. На эмуляторе Android с Happ эта проверка работает корректно, но я в ней полностью не уверен, по этому она в бете вышла.

То же самое касается и STUN проверок 🤔

STUN проверка задумана на ловлю split tunneling. Допустим Вы такой ловкий и перебанили/re-route делаете для доменов с которых можно получить Ваш IP. Одно дело забанить/пустить напрямую checkip.amazonaws.com для защиты, Вы от этого ничего особо не потеряете, а вот с STUN серверами telegram так не выйдет, вы либо IP VPN выдаете или без звонков сидите/с проблемами. Много STUN серверов было добавлено для осведомленности пользователей через что их могут ловить.

Это про вопрос из вашего гайда

    {
      "action": "reject",
      "protocol": "stun"
    },

И я как бы минимум добавил еще настройку icmp ответов, как на android сделать такое я не разбирался еще.
Скрин из v2rayN v7.20.4, settings -> TUN settings

Благодарю за информацию!

[jinndi]

Потому что буквально после выпуска этой проверки в RKNHardering, в sing-box наконец-то сумели добавить настройку контроля ответов icmp. Раньше ping был <1ms что давало очевидное подозрение на sing-box, ибо у мобильного пользователя не может быть ping до google.com <1ms

Однако вопрос в том, что сам ICMP-тест почему-то проходит, хотя я его блокирую (для теста на андроиде). В гайде этого нет, так как подписка пока не позволяет добавить правило перед сниффингом (sniff). Тем не менее, согласно результатам тестов RKNHardening, проверка проходит в обоих случаях - и для инсты, и для гугл как видно из скрина выше (Подмена ICMP:). Но если я провожу тест из-под Linux, то получаю следующее:

поэтому я задался вопросом а идут ли вообще в tun icmp запросы при тесте в RKNHardering

STUN проверка задумана на ловлю split tunneling.

тут пока разбираюсь, с правилами на роутере:

    {
      "action": "reject",
      "protocol": "stun"
    },

блочились все 22 проверки

Завтра протестирую всё это другим способом, чтобы разобраться, сегодня не получится.

P.S. Андроид-программист без Андроида — это весело. :)

[jinndi]

В общем, разобрался. Действительно, трафик не идет через TUN-интерфейс при тесте ICMP и STUN, но только в том случае, если само приложение добавлено в исключения в настройках sing-box (Split per app).

Если же я убираю RKNHardening из исключений, то вижу, что мои правила работают:

Но делать этого не стоит: результат будет плачевным:

Поэтому на эти тесты не стоит обращать внимание? Я просто не силен в API андроида. Или приложение может все-таки обратиться к TUN как-то в случае, если оно исключено или отмечено как непроксируемое в настройках VPN?

[xtclovver]

Я просто не силен в API андроида. Или приложение может все-таки обратиться к TUN как-то в случае, если оно исключено или отмечено как непроксируемое в настройках VPN?

Да, на висящий интерфейс может любое приложение прыгнуть. Android API такого не позволит если приложение исключено из проксирования. Но стоило на cpp написать curl-like подключение и всё прекрасно работает.

То что активный зонд даёт одинаковый ip лишь говорит о хорошо настроенном split tunneling, я же могу просто доработать и сделать сложным такие выкрутасы. На вопрос почему такое не было добавлено изначально один ответ - долго. Возможно сделать через переключатель в настройках.

Я буду на этой недели дальше заниматься приложением

[jinndi]

Я просто не силен в API андроида. Или приложение может все-таки обратиться к TUN как-то в случае, если оно исключено или отмечено как непроксируемое в настройках VPN?

Да, на висящий интерфейс может любое приложение прыгнуть. Android API такого не позволит если приложение исключено из проксирования. Но стоило на cpp написать curl-like подключение и всё прекрасно работает.

То что активный зонд даёт одинаковый ip лишь говорит о хорошо настроенном split tunneling, я же могу просто доработать и сделать сложным такие выкрутасы. На вопрос почему такое не было добавлено изначально один ответ - долго. Возможно сделать через переключатель в настройках.

Я буду на этой недели дальше заниматься приложением

Спасибо за ответ и работу! Вопросов нет, пока держимся)