Скрывает активное VPN-соединение на Android от выбранных приложений.

English version

Существующие модули, такие как NoVPNDetect и NoVPNDetect Enhanced, покрывают только Java API обнаружение и хукают внутри процесса целевого приложения через Xposed. У этого подхода две критические проблемы:

1. Обнаружение anti-tamper защитой — любое приложение с проверкой инъекций в память обнаруживает хуки Xposed и отказывается работать. Автор NoVPNDetect Enhanced прямо пишет: «Модуль не будет работать если у подключаемого приложения есть защита от LSPosed, проверка на инъекции в память. Например MirPay, Т-Банк.»
2. Нет нативного покрытия — приложения, использующие C/C++ код, кроссплатформенные фреймворки (Flutter, React Native) или прямые системные вызовы, могут обнаружить VPN через ioctl, getifaddrs, netlink-сокеты и /proc/net/*. Java-хуки эти векторы полностью пропускают.

vpnhide решает обе проблемы многослойной архитектурой:

Уровень 1 — Java API (модуль lsposed): хукает system_server, а не целевое приложение. NetworkCapabilities, NetworkInfo и LinkProperties фильтруются на уровне Binder до того, как данные попадут в процесс приложения. Приложение получает чистые данные через IPC — никаких инъекций в его процесс, нечего обнаруживать. Этот же модуль скрывает выбранные приложения от приложений-наблюдателей на уровне PackageManager (роль Apps).

Уровень 2 — нативный (kmod, KPM или Zygisk): покрывает нативные пути обнаружения. Активным должен быть ровно один Native-бэкенд:

• kmod (рекомендуется для поддерживаемых GKI-ядер) — хуки kretprobe на уровне ядра. Фильтрует ioctl (SIOCGIFFLAGS, SIOCGIFNAME, SIOCGIFCONF), getifaddrs/netlink-дампы (RTM_GETLINK, RTM_GETADDR), маршруты и /proc/net/route до возврата системного вызова в пользовательское пространство. Нулевой след в процессе приложения: никаких инъекций библиотек, нечего обнаруживать.
• KPM (бета) — KernelPatch Module с тем же назначением, что и kmod, но без привязки к GKI-варианту. Полезен для старых/non-GKI ядер 4.14 / 4.19 / 5.4 и ситуаций, где .ko не может загрузиться. Требует KernelPatch runtime: APatch или KPatch-Next-Module.
• Zygisk — запасной вариант, если kernel-level backend поставить нельзя. Inline-хуки libc.so работают внутри процесса приложения, поэтому банковские и anti-fraud приложения могут их обнаруживать. Для таких приложений лучше оставлять Native выключенным и полагаться на Java-уровень.

Уровень 3 — модуль скрытия портов (portshide): отдельный Magisk-модуль. Через iptables блокирует выбранным приложениям доступ к 127.0.0.1 / ::1, чтобы они не могли обнаружить локально запущенный VPN / proxy-демон по открытому порту (роль Ports).

Процесс целевого приложения полностью нетронут при использовании LSPosed + kernel-level Native-бэкенда (kmod или KPM) — ни Xposed, ни inline-хуков, ни модифицированных регионов памяти. Благодаря этому vpnhide работает с банковскими и государственными приложениями, которые активно обнаруживают и блокируют модули на основе Xposed.

vpnhide скрывает от выбранных приложений три вещи — всё настраивается пер-апп через четыре роли J / N / A / P (Java, Native, Apps, Ports):

1. Скрытие интерфейса — главная задача. Убирает VPN-интерфейсы и маршруты из нативных API (ioctl, getifaddrs, /proc/net/*, NetworkInterface) и из Java API (NetworkCapabilities, NetworkInfo, LinkProperties). Его дают две роли сразу — Java (J) и Native (N), они включаются независимо.
2. Скрытие портов — блокирует доступ к localhost для выбранных приложений, чтобы они не могли обнаружить Clash, sing-box, V2Ray, Happ и подобные инструменты через проверку локальных портов (роль Ports (P)).
3. Скрытие приложений — позволяет скрыть выбранные установленные приложения от выбранных приложений-наблюдателей. Полезно против проверок package visibility, например когда приложение пытается определить, установлен ли на устройстве VPN или proxy-клиент (роль Apps (A)).

Всегда нужно приложение VPN Hide (vpnhide.apk) + LSPosed/Vector для Java-уровня + ровно один Native-бэкенд для нативного скрытия. Дополнительно приложение может использовать необязательный Ports-модуль для блокировки localhost-портов:

• kmod (стабильный вариант по умолчанию) — полностью out-of-process, невидим для anti-tamper. Требуется поддерживаемое GKI-ядро: 5.10, 5.15, 6.1, 6.6 или 6.12.
• KPM (бета) — kernel-level backend для 4.14 / 4.19 / 5.4 и других случаев, где .ko не подходит. Нужен APatch или KPatch-Next-Module.
• Zygisk — fallback, если kmod/KPM недоступны или вы не хотите ставить KernelPatch runtime.
• portshide (необязательно) — установите, если хотите блокировать выбранным приложениям доступ к localhost-портам.

Не ставьте несколько Native-бэкендов одновременно. Если они всё же установлены, приложение выбирает активный по приоритету: kmod, затем KPM, затем Zygisk; лишние модули лучше удалить.

См. Установка для пошаговой инструкции.

Скачайте последний релиз из Releases.

1. Установите vpnhide.apk как обычное приложение
2. В менеджере LSPosed включите модуль VPN Hide и добавьте «System Framework» в его область действия
3. Перезагрузите устройство (обязательно — хуки LSPosed внедряются в system_server при загрузке, поэтому модуль должен быть активен до запуска system_server)
4. Откройте приложение VPN Hide и предоставьте ему root-доступ (Magisk обычно запросит автоматически; на KernelSU/KernelSU-Next/APatch выдайте разрешение в менеджере)

Откройте приложение VPN Hide. На вкладке «Обзор» приложение определит устройство и ядро и покажет, какой Native-бэкенд лучше установить:

• Для поддерживаемого GKI-ядра будет рекомендован конкретный файл kmod, например vpnhide-kmod-android14-6.1.zip.
• Для non-GKI/старых ядер 4.14 / 4.19 / 5.4 будет рекомендован vpnhide-kpm.zip (бета). Если KernelPatch runtime ещё не найден, приложение попросит сначала установить KPatch-Next-Module или использовать Zygisk как fallback.
• Для остальных ядер будет рекомендован vpnhide-zygisk.zip.

Установите рекомендованный модуль:

• kmod: через KernelSU-Next / KernelSU / Magisk → Модули → Установить из хранилища.
• KPM: установите vpnhide-kpm.zip; под APatch/FolkPatch приложение может попросить сохранить SuperKey в Настройки → Безопасность для активации при загрузке, если runtime не выдаёт доверенный su-токен KernelPatch. Под Magisk, KernelSU и KernelSU-Next сначала установите KPatch-Next-Module, если он ещё не установлен.
• Zygisk: через KernelSU-Next, KernelSU или Magisk → Модули.

Перезагрузите устройство после установки нативного модуля.

Если вам нужна блокировка localhost-портов, установите vpnhide-ports.zip через KernelSU-Next или Magisk manager.

Этот модуль независим от Native-бэкенда и нужен только для роли Ports в приложении.

Откройте приложение VPN Hide → вкладка «Скрытие».

В списке у каждого приложения есть роли:

• Java — скрытие VPN через Android Java API на уровне LSPosed/system_server.
• Native — активный Native-бэкенд: kmod, KPM или Zygisk. VPN Hide сохраняет один выбор Native; работает только активный бэкенд.
• Apps — приложение становится наблюдателем, от которого нужно скрывать выбранные VPN/proxy-приложения через PackageManager.
• Ports — приложению блокируется доступ к localhost-портам.

В настройках можно включить полные подписи ролей вместо коротких J / N / A / P. Для Java, Native и Ports значок настройки рядом с названием открывает индивидуальные хуки или диапазоны портов.

После изменений нажмите «Сохранить».

Java и kernel-level Native-бэкенды (kmod/KPM) применяются сразу. Zygisk-хуки и правила Ports применяются для выбранного приложения после принудительной остановки и повторного запуска.

Примечание: некоторые приложения обнаруживают Zygisk-хуки, если для них включён Native. Для таких приложений оставьте Native выключенным и используйте Java-уровень, либо перейдите на kmod/KPM.

su -c /data/adb/modules/vpnhide_kmod/activator
su -c /data/adb/modules/vpnhide_kpm/activator
su -c /data/adb/modules/vpnhide_zygisk/activator
su -c /data/adb/modules/vpnhide_ports/activator

Обзор — VPN скрыт	Скрытие — единый список	Как это работает

Статистика	Разбор по хукам	Выбор хуков для приложения

Диагностика	Настройки	Сообщество

В приложении есть встроенная система диагностики, которая автоматически обнаруживает большинство проблем с настройкой.

Обзор (запускается при каждом открытии приложения):

• Статус модулей и бэкендов (установлен, активен, версия, количество целей)
• Валидация конфигурации LSPosed — читает базу данных LSPosed и проверяет, что VPN Hide включён, System Framework в scope, и нет лишних приложений в scope (частая ошибка при настройке)
• Обнаружение несоответствия версий — сравнивает версии установленных модулей с версией приложения и подсказывает, что именно нужно обновить
• Рекомендация Native-бэкенда — определяет ядро устройства и подбирает нужный файл kmod, KPM или Zygisk
• Проверка скрытия в реальном времени (при активном VPN) — выполняет 13 нативных и 12 Java API проверок, чтобы убедиться, что VPN действительно скрыт

Все обнаруженные проблемы показываются в виде карточек с конкретными инструкциями по исправлению.

Статистика — счётчики перехватов по каждому приложению: какие приложения и какими методами проверяют VPN.

Настройки → Диагностика — детальная разбивка по каждой проверке с индивидуальными результатами PASS/FAIL по всем 25 проверкам. Полезна для отладки, когда «Обзор» показывает неполное скрытие.

блок. = на сток-enforcing сборках (Android 10+) SELinux обычно запрещает обычным приложениям доступ к этому файлу /proc/net/* / /sys. Но политика SELinux настроена по-разному на разных устройствах и прошивках (OEM- и кастомные ROM, permissive-сборки), поэтому слои vpnhide всё равно фильтруют эти пути и не полагаются на SELinux.

Важно: netlink-дампы (строки 7–9) SELinux не ограничивает — обычное приложение читает интерфейсы, адреса и маршруты через NETLINK_ROUTE напрямую. Именно так детекторы вроде RKNHardering обходят блокировку /proc/net/route (см. issue #86). Поэтому векторы, реально доступные обычному приложению, — это строки 1–9 и 24; их закрывает активный Native-бэкенд. Kernel-level варианты (kmod/KPM) закрывают их без следа в процессе; Zygisk закрывает libc-пути, но остаётся обнаружимым и обходится raw syscall. Остальное либо часто блокируется SELinux на стоке (но это зависит от устройства), либо идёт через Java API и покрывается LSPosed.

KPM в бете: его покрытие повторяет колонки .ko выше, но есть небольшие расхождения в паритете хуков относительно стабильного .ko.

Полная карта векторов — с разбивкой по слоям, нюансами SELinux и известными пробелами — в docs/detection-vectors.md.

• kmod: ./kmod/build.py --kmi android14-6.1 (или --all) — авто-запускает DDK-контейнер через podman/docker. Подробнее: kmod/BUILDING.md.
• KPM: python3 kmod/kpm/build.py — собирает универсальный vpnhide-kpm.zip через KernelPatch submodule. Подробнее: kmod/kpm/README.md.
• zygisk: cd zygisk && ./build.py (Rust + NDK + cargo-ndk)
• lsposed: cd lsposed && ./gradlew assembleDebug (JDK 17 + Rust + NDK + cargo-ndk). Обычный debug APK остаётся debuggable, но проходит R8/shrink, чтобы не раздувать Xposed-модуль при установке и agent smoke-тестах. Для старой unminified debug-сборки используйте ./gradlew assembleRawDebug.

Если вы используете Windows, при сборке некоторых подпроектов возникают определенные неудобства.

lsposed: отлично собирается в Android Studio.

portshide: cd .\portshide\; python .\build-zip.py выполняется без проблем.

Для kmod и zygisk вам (к сожалению) потребуется установить Docker for Windows.

kmod: python .\kmod\build.py --kmi android14-6.1 — скрипт сам подберёт docker и поднимет образ ddk-min (тот же, что в CI).

KPM: собирайте из Linux или WSL. Скрипт ожидает POSIX-инструменты, make/clang, KernelPatch submodule и Android NDK; нативная сборка на Windows сейчас не документирована.

zygisk:

docker run --rm -it -v "${PWD}:/workspace" -v "vpnhide_cargo_cache:/usr/local/cargo/registry" -w /workspace ghcr.io/okhsunrog/vpnhide/ci:latest bash -c 'cd zygisk && python3 ./build.py'

Причина, по которой zygisk нельзя собрать напрямую, заключается в том, что исходный код зависимости zygisk-api содержит файл с именем aux.rs. Cargo использует libgit2 для работы с git, в котором есть защита, запрещающая создавать файлы, содержащие зарезервированные слова Windows. Вы получите ошибку: cannot checkout to invalid path 'src/aux.rs'; class=Checkout (20). Сообщают, что после какого-то обновления стало возможным создавать файлы, содержащие зарезервированные слова, с расширением, но, похоже, в libgit2 это поведение не было изменено.

• RKNHardering — все векторы обнаружения чисты
• YourVPNDead — все векторы обнаружения чисты

Оба реализуют официальную методику обнаружения VPN/прокси Минцифры РФ (источник).

Корректно работает с конфигурациями VPN с раздельным туннелированием. Затрагиваются только приложения из списка целей.

Настоятельно рекомендуется использовать split tunneling в паре с VPN Hide.

Приложения-детекторы, сравнивающие публичный IP устройства с внешними чекерами, лучше оставлять вне туннеля — их трафик должен выходить через оператора, а не через VPN.

vpnhide скрывает активный VPN от конкретных приложений. Он НЕ предназначен для:

• Скрытия root или кастомной прошивки
• Обхода Play Integrity
• Обмана серверной детекции (утечки DNS, чёрные списки IP, фингерпринтинг латентности/TLS)

• kmod требует поддерживаемое GKI-ядро с CONFIG_KPROBES=y (стандарт на устройствах Android 12+)
• KPM — бета и требует KernelPatch runtime (APatch или KPatch-Next-Module); не ставьте KPM одновременно с .ko
• lsposed требует LSPosed, LSPosed-Next или Vector
• zygisk — только arm64
• Прямые системные вызовы svc #0 обходят хуки libc в Zygisk — для этого нужен kernel-level backend (kmod или KPM)
• Серверная детекция неисправима на стороне клиента — используйте раздельное туннелирование

MIT. См. LICENSE.

Модуль ядра объявляет MODULE_LICENSE("GPL"), как требуется ядром Linux для разрешения символов EXPORT_SYMBOL_GPL во время выполнения.