Per què el Private DNS del mòbil trenca la resolució de noms de la VPN

Les aplicacions no aconsegueixen resoldre un nom mentre el túnel continua connectat i la resta d'indicadors semblen saludables. Al mòbil, la causa habitual és un resolutor triat pel dispositiu i no pel perfil de VPN. Dos paràmetres poden reclamar cadascun l'autoritat sobre la mateixa consulta. Esbrinar quin guanya i si fins i tot pot respondre la pregunta és més ràpid que tocar el túnel.

Dos paràmetres decideixen el mateix nom

El paràmetre Private DNS del mòbil tria un resolutor per al dispositiu, amb modes que van de la selecció automàtica a un nom d'amfitrió concret. Un perfil de VPN pot imposar el seu propi resolutor alhora, i tots dos es configuren en pantalles diferents i per propietaris diferents. Cap no anul·la necessàriament l'altre per a cada aplicació. Per això un túnel funcional i una consulta fallida conviuen sense contradicció.

El navegador pot afegir un tercer nivell, perquè el DNS segur dins del navegador pot triar el seu propi proveïdor. L'aplicació que ha produït l'error és l'única guia fiable de quin dels tres ha respost. El resolutor també ha de poder respondre. Un nom exclusiu de l'empresa no és a les dades d'un resolutor públic, així que la consulta falla pel contingut i no per la connectivitat.

Trieu el mode segons els noms que necessiteu

Si el dispositiu ha de resoldre noms interns, el resolutor ha de ser un que contingui aquestes zones, cosa que normalment vol dir el resolutor del túnel o un esquema de DNS dividit que l'organització documenti. Si només importen els noms públics, un resolutor xifrat estricte és una opció defensable que també elimina les consultes en text pla. La decisió es desprèn dels noms, no d'una preferència sobre el xifratge.

El comportament en cas de fallada també varia segons el mode. Una tria estricta que no pot arribar al seu resolutor produeix fallades per a tots els noms, mentre que un mode amb retrocés permès pot mantenir els noms públics funcionant i els interns trencats. Aquesta diferència us diu en quin mode esteu abans d'obrir una pantalla de configuració. En un dispositiu gestionat decideix la política aprovada i l'usuari no la pot anul·lar amb seguretat. En una configuració personal, una comparació documentada n'hi ha prou per identificar el conflicte, i el paràmetre de privadesa previst s'ha de restaurar després en lloc de deixar-lo desactivat.

Comproveu quina aplicació pregunta

Reproduïu la fallada a l'aplicació que l'ha notificada i anoteu si l'error és de nom o de connexió. Un error de nom en una aplicació i una pàgina correcta en una altra és la signatura de dos resolutors, no d'un túnel trencat.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Aquestes ordres llegeixen la configuració actual del dispositiu, i les compilacions dels fabricants poden reanomenar o restringir els valors subjacents, així que tracteu la sortida com un indici i no com una especificació. La documentació d'Android sobre Private DNS descriu els modes i la forma d'amfitrió que espera un dispositiu.

Compareu aquesta resposta amb el resolutor que imposa el perfil de VPN. Si no coincideixen, heu trobat el conflicte i la pregunta que queda és quin vol l'organització que guanyi.

Restaureu el paràmetre previst després d'una comparació

Canvieu un paràmetre, torneu a provar els dos noms i deixeu el paràmetre com estava. Un dispositiu deixat en un mode permissiu resol noms interns i envia en silenci cada consulta pública a qui respongui primer, cosa que és un canvi de privadesa que ningú no ha enregistrat.

Escriviu el resultat com una regla: els noms interns es resolen amb aquest resolutor, els públics amb aquell, i el navegador segueix o no segueix el dispositiu. Una regla que anomena el resolutor és verificable, mentre que una nota que diu que la VPN s'ha arreglat no ho és. Després comproveu si alguna altra cosa del dispositiu depèn del resolutor que heu canviat. Les comprovacions d'actualitzacions, la detecció de portals captius i els clients de correu fan les seves pròpies peticions, i fallen de maneres que els usuaris reporten com a problemes no relacionats.