VPN Hide

Скрывает активное VPN-соединение на Android от выбранных приложений.

English version

Существующие модули, такие как NoVPNDetect и NoVPNDetect Enhanced, покрывают только Java API обнаружение и хукают внутри процесса целевого приложения через Xposed. У этого подхода две критические проблемы:

1. Обнаружение anti-tamper защитой — любое приложение с проверкой инъекций в память обнаруживает хуки Xposed и отказывается работать. Автор NoVPNDetect Enhanced прямо пишет: «Модуль не будет работать если у подключаемого приложения есть защита от LSPosed, проверка на инъекции в память. Например MirPay, Т-Банк.»
2. Нет нативного покрытия — приложения, использующие C/C++ код, кроссплатформенные фреймворки (Flutter, React Native) или прямые системные вызовы, могут обнаружить VPN через ioctl, getifaddrs, netlink-сокеты и /proc/net/*. Java-хуки эти векторы полностью пропускают.

vpnhide решает обе проблемы многослойной архитектурой:

Уровень 1 — Java API (модуль lsposed): хукает system_server, а не целевое приложение. NetworkCapabilities, NetworkInfo и LinkProperties фильтруются на уровне Binder до того, как данные попадут в процесс приложения. Приложение получает чистые данные через IPC — никаких инъекций в его процесс, нечего обнаруживать. Этот же модуль скрывает выбранные приложения от приложений-наблюдателей на уровне PackageManager (роль Apps).

Уровень 2 — нативный (kmod, KPM или Zygisk): покрывает нативные пути обнаружения. Активным должен быть ровно один Native-бэкенд:

• kmod (рекомендуется для поддерживаемых GKI-ядер) — хуки kprobe/kretprobe на уровне ядра. Фильтрует ioctl, getifaddrs/netlink-дампы интерфейсов, адресов, маршрутов и policy rules, а также отклоняет SO_BINDTODEVICE / SO_BINDTOIFINDEX для скрытых интерфейсов до изменения состояния сокета. Нулевой след в процессе приложения: никаких инъекций библиотек, нечего обнаруживать.
• KPM (бета) — KernelPatch Module с теми же 11 логическими kernel-хуками, но без привязки к GKI-варианту .ko. Полезен для старых/non-GKI ядер 4.9 / 4.14 / 4.19 / 5.4 и ситуаций, где .ko не может загрузиться. Требует KernelPatch runtime: APatch или KPatch-Next-Module.
• Zygisk — запасной вариант, если kernel-level backend поставить нельзя. Inline-хуки libc.so, включая best-effort фильтрацию setsockopt, работают внутри процесса приложения и обходятся прямыми системными вызовами, поэтому банковские и anti-fraud приложения могут их обнаруживать. Для таких приложений лучше оставлять Native выключенным и полагаться на Java-уровень.

Уровень 3 — модуль скрытия портов (portshide): отдельный Magisk-модуль. Через iptables блокирует выбранным приложениям доступ к 127.0.0.1 / ::1, чтобы они не могли обнаружить локально запущенный VPN / proxy-демон по открытому порту (роль Ports).

Процесс целевого приложения полностью нетронут при использовании LSPosed + kernel-level Native-бэкенда (kmod или KPM) — ни Xposed, ни inline-хуков, ни модифицированных регионов памяти. Благодаря этому vpnhide работает с банковскими и государственными приложениями, которые активно обнаруживают и блокируют модули на основе Xposed.

Что именно скрывает vpnhide

vpnhide скрывает от выбранных приложений три вещи — всё настраивается пер-апп через четыре роли J / N / A / P (Java, Native, Apps, Ports):

1. Скрытие интерфейса — главная задача. Убирает VPN-интерфейсы и маршруты из нативных API (ioctl, getifaddrs, netlink, /proc/net/*, NetworkInterface), не позволяет привязать сокет к скрытому интерфейсу и очищает Java API (NetworkCapabilities, NetworkInfo, LinkProperties). Его дают две роли сразу — Java (J) и Native (N), они включаются независимо.
2. Скрытие портов — блокирует доступ к localhost для выбранных приложений, чтобы они не могли обнаружить Clash, sing-box, V2Ray, Happ и подобные инструменты через проверку локальных портов (роль Ports (P)).
3. Скрытие приложений — позволяет скрыть выбранные установленные приложения от выбранных приложений-наблюдателей. Полезно против проверок package visibility, например когда приложение пытается определить, установлен ли на устройстве VPN или proxy-клиент (роль Apps (A)).

Какие модули нужны?

Всегда нужно приложение VPN Hide (vpnhide.apk) + LSPosed/Vector для Java-уровня + ровно один Native-бэкенд для нативного скрытия. Дополнительно приложение может использовать необязательный Ports-модуль для блокировки localhost-портов:

• kmod (стабильный вариант по умолчанию) — полностью out-of-process, невидим для anti-tamper. Требуется поддерживаемое GKI-ядро: 5.10, 5.15, 6.1, 6.6 или 6.12.
• KPM (бета) — kernel-level backend для 4.9 / 4.14 / 4.19 / 5.4 и других случаев, где .ko не подходит. Нужен APatch или KPatch-Next-Module.
• Zygisk — fallback, если kmod/KPM недоступны или вы не хотите ставить KernelPatch runtime.
• portshide (необязательно) — установите, если хотите блокировать выбранным приложениям доступ к localhost-портам.

Не ставьте несколько Native-бэкендов одновременно. Если они всё же установлены, приложение выбирает активный по приоритету: kmod, затем KPM, затем Zygisk; лишние модули лучше удалить.

См. Установка для пошаговой инструкции.

Установка

Скачайте последний релиз из Releases.

Шаг 1 — Приложение VPN Hide + LSPosed

1. Установите vpnhide.apk как обычное приложение
2. В менеджере LSPosed включите модуль VPN Hide и добавьте «System Framework» в его область действия
3. Перезагрузите устройство (обязательно — хуки LSPosed внедряются в system_server при загрузке, поэтому модуль должен быть активен до запуска system_server)
4. Откройте приложение VPN Hide и предоставьте ему root-доступ (Magisk обычно запросит автоматически; на KernelSU/KernelSU-Next/APatch выдайте разрешение в менеджере)

Шаг 2 — Нативный модуль для скрытия интерфейса

Откройте приложение VPN Hide. На вкладке «Обзор» приложение определит устройство и ядро и покажет, какой Native-бэкенд лучше установить:

• Для поддерживаемого GKI-ядра будет рекомендован конкретный файл kmod, например vpnhide-kmod-android14-6.1.zip.
• Для non-GKI/старых ядер 4.9 / 4.14 / 4.19 / 5.4 будет рекомендован vpnhide-kpm.zip (бета). Если KernelPatch runtime ещё не найден, приложение попросит сначала установить KPatch-Next-Module или использовать Zygisk как fallback.
• Для остальных ядер будет рекомендован vpnhide-zygisk.zip.

Установите рекомендованный модуль:

• kmod: через KernelSU-Next / KernelSU / Magisk → Модули → Установить из хранилища.
• KPM: установите vpnhide-kpm.zip; под APatch/FolkPatch приложение может попросить сохранить SuperKey в Настройки → Безопасность для активации при загрузке, если runtime не выдаёт доверенный su-токен KernelPatch. Под Magisk, KernelSU и KernelSU-Next сначала установите KPatch-Next-Module, если он ещё не установлен.
• Zygisk: через KernelSU-Next, KernelSU или Magisk → Модули.

Перезагрузите устройство после установки нативного модуля.

Шаг 3 — Необязательно: установка Ports-модуля

Если вам нужна блокировка localhost-портов, установите vpnhide-ports.zip через KernelSU-Next или Magisk manager.

Этот модуль независим от Native-бэкенда и нужен только для роли Ports в приложении.

Шаг 4 — Настройка скрытия

Откройте приложение VPN Hide → вкладка «Скрытие».

В списке у каждого приложения есть роли:

• Java — скрытие VPN через Android Java API на уровне LSPosed/system_server.
• Native — активный Native-бэкенд: kmod, KPM или Zygisk. VPN Hide сохраняет один выбор Native; работает только активный бэкенд.
• Apps — приложение становится наблюдателем, от которого нужно скрывать выбранные VPN/proxy-приложения через PackageManager.
• Ports — приложению блокируется доступ к localhost-портам.

В настройках можно включить полные подписи ролей вместо коротких J / N / A / P. Для Java, Native и Ports значок настройки рядом с названием открывает индивидуальные хуки или диапазоны портов.

После изменений нажмите «Сохранить».

Java и kernel-level Native-бэкенды (kmod/KPM) применяются сразу. Zygisk-хуки и правила Ports применяются для выбранного приложения после принудительной остановки и повторного запуска.

Примечание: некоторые приложения обнаруживают Zygisk-хуки, если для них включён Native. Для таких приложений оставьте Native выключенным и используйте Java-уровень, либо перейдите на kmod/KPM.

su -c /data/adb/modules/vpnhide_kmod/activator
su -c /data/adb/modules/vpnhide_kpm/activator
su -c /data/adb/modules/vpnhide_zygisk/activator
su -c /data/adb/modules/vpnhide_ports/activator

Скриншоты

Обзор — VPN скрыт	Скрытие — единый список	Как это работает

Статистика	Разбор по хукам	Выбор хуков для приложения

Диагностика	Настройки	Сообщество

Проверка

В приложении есть встроенная система диагностики, которая автоматически обнаруживает большинство проблем с настройкой.

Обзор (запускается при каждом открытии приложения):

• Статус модулей и бэкендов (установлен, активен, версия, количество целей)
• Валидация конфигурации LSPosed — читает базу данных LSPosed и проверяет, что VPN Hide включён, System Framework в scope, и нет лишних приложений в scope (частая ошибка при настройке)
• Обнаружение несоответствия версий — сравнивает версии установленных модулей с версией приложения и подсказывает, что именно нужно обновить
• Рекомендация Native-бэкенда — определяет ядро устройства и подбирает нужный файл kmod, KPM или Zygisk
• Проверка скрытия в реальном времени (при активном VPN) — выполняет 13 нативных и 12 Java API проверок, чтобы убедиться, что VPN действительно скрыт

Все обнаруженные проблемы показываются в виде карточек с конкретными инструкциями по исправлению.

Статистика — счётчики перехватов по каждому приложению: какие приложения и какими методами проверяют VPN.

Настройки → Диагностика — детальная разбивка по каждой проверке с индивидуальными результатами PASS/FAIL по всем 25 проверкам. Полезна для отладки, когда «Обзор» показывает неполное скрытие.

Компоненты

Покрытие обнаружения

блок. = на сток-enforcing сборках (Android 10+) SELinux обычно запрещает обычным приложениям доступ к этому файлу /proc/net/* / /sys. Но политика SELinux настроена по-разному на разных устройствах и прошивках (OEM- и кастомные ROM, permissive-сборки), поэтому защитой vpnhide следует считать только явно указанное в таблице покрытие.

libc = best-effort покрытие Zygisk: прямой системный вызов обходит inline-хук.

опц. = скрытие файловых путей в .ko по умолчанию выключено. Включите его в настройках и перезагрузите устройство; в выключенном состоянии глобальные VFS-хуки вообще не устанавливаются.

Важно: ioctl и netlink-дампы доступны обычному приложению без помощи SELinux; на Linux 5.7+ это относится и к первой привязке сокета к интерфейсу. Именно через netlink детекторы вроде RKNHardering обходят блокировку /proc/net/route (см. issue #86). Kernel-level варианты (kmod/KPM) закрывают отмеченные в таблице нативные пути без следа в процессе. Zygisk закрывает только вызовы, проходящие через libc; прямой raw syscall обходит его хуки. На более старых ядрах привязку непривилегированного сокета отклоняет само ядро. Остальное либо часто блокируется SELinux на стоке (но это зависит от устройства), либо идёт через Java API и покрывается LSPosed.

KPM в бете: он реализует те же 11 логических kernel-хуков, что и .ko, но отдельные различия ABI и поведения на старых ядрах перечислены в полной карте векторов.

Полная карта векторов — с разбивкой по слоям, нюансами SELinux и известными пробелами — в docs/detection-vectors.md.

Сборка из исходников

• kmod: ./kmod/build.py --kmi android14-6.1 (или --all) — авто-запускает DDK-контейнер через podman/docker. Подробнее: kmod/BUILDING.md.
• KPM: python3 kmod/kpm/build.py — собирает универсальный vpnhide-kpm.zip через KernelPatch submodule. Подробнее: kmod/kpm/README.md.
• zygisk: cd zygisk && ./build.py (Rust + NDK + cargo-ndk)
• lsposed: cd lsposed && ./gradlew assembleDebug (JDK 17 + Rust + NDK + cargo-ndk). Обычный debug APK остаётся debuggable, но проходит R8/shrink, чтобы не раздувать Xposed-модуль при установке и agent smoke-тестах. Для старой unminified debug-сборки используйте ./gradlew assembleRawDebug.

Заметки для контрибьюторов, застрявших на Windows

Если вы используете Windows, при сборке некоторых подпроектов возникают определенные неудобства.

lsposed: отлично собирается в Android Studio.

portshide: cd .\portshide\; python .\build-zip.py выполняется без проблем.

Для kmod и zygisk вам (к сожалению) потребуется установить Docker for Windows.

kmod: python .\kmod\build.py --kmi android14-6.1 — скрипт сам подберёт docker и поднимет образ ddk-min (тот же, что в CI).

KPM: собирайте из Linux или WSL. Скрипт ожидает POSIX-инструменты, make/clang, KernelPatch submodule и Android NDK; нативная сборка на Windows сейчас не документирована.

zygisk:

docker run --rm -it -v "${PWD}:/workspace" -v "vpnhide_cargo_cache:/usr/local/cargo/registry" -w /workspace ghcr.io/okhsunrog/vpnhide/ci:latest bash -c 'cd zygisk && python3 ./build.py'

Причина, по которой zygisk нельзя собрать напрямую, заключается в том, что исходный код зависимости zygisk-api содержит файл с именем aux.rs. Cargo использует libgit2 для работы с git, в котором есть защита, запрещающая создавать файлы, содержащие зарезервированные слова Windows. Вы получите ошибку: cannot checkout to invalid path 'src/aux.rs'; class=Checkout (20). Сообщают, что после какого-то обновления стало возможным создавать файлы, содержащие зарезервированные слова, с расширением, но, похоже, в libgit2 это поведение не было изменено.

Проверено на

• RKNHardering — все векторы обнаружения чисты
• YourVPNDead — все векторы обнаружения чисты

Оба реализуют официальную методику обнаружения VPN/прокси Минцифры РФ (источник).

Раздельное туннелирование (split tunneling)

Корректно работает с конфигурациями VPN с раздельным туннелированием. Затрагиваются только приложения из списка целей.

Настоятельно рекомендуется использовать split tunneling в паре с VPN Hide.

Приложения-детекторы, сравнивающие публичный IP устройства с внешними чекерами, лучше оставлять вне туннеля — их трафик должен выходить через оператора, а не через VPN.

Модель угроз

vpnhide скрывает активный VPN от конкретных приложений. Он НЕ предназначен для:

• Скрытия root или кастомной прошивки
• Обхода Play Integrity
• Обмана серверной детекции (утечки DNS, чёрные списки IP, фингерпринтинг латентности/TLS)

Известные ограничения

• kmod требует поддерживаемое GKI-ядро с CONFIG_KPROBES=y (стандарт на устройствах Android 12+)
• KPM — бета и требует KernelPatch runtime (APatch или KPatch-Next-Module); не ставьте KPM одновременно с .ko
• lsposed требует LSPosed, LSPosed-Next или Vector
• zygisk — только arm64
• Прямые системные вызовы svc #0 обходят хуки libc в Zygisk — для этого нужен kernel-level backend (kmod или KPM)
• Серверная детекция неисправима на стороне клиента — используйте раздельное туннелирование

Лицензия

MIT. См. LICENSE.

Модуль ядра объявляет MODULE_LICENSE("GPL"), как требуется ядром Linux для разрешения символов EXPORT_SYMBOL_GPL во время выполнения.

Star History