Proč Private DNS v telefonu rozbíjí překlad jmen přes VPN

Aplikacím se nedaří přeložit jméno, přitom tunel zůstává připojený a všechny ostatní ukazatele vypadají v pořádku. V telefonu je obvyklou příčinou resolver zvolený zařízením, nikoli profilem VPN. Dvě nastavení si mohou každé nárokovat pravomoc nad stejným dotazem. Zjistit, které vyhraje a zda vůbec dokáže na otázku odpovědět, je rychlejší než sahat na tunel.

Stejné jméno rozhodují dvě nastavení

Nastavení Private DNS v telefonu volí resolver pro zařízení, v režimech od automatické volby po zadané jméno hostitele. Profil VPN může současně protlačit vlastní resolver a obojí se nastavuje na různých obrazovkách a různými vlastníky. Ani jedno nemusí to druhé přebít pro každou aplikaci. Proto fungující tunel a selhávající dotaz koexistují bez rozporu.

Prohlížeč může přidat třetí vrstvu, protože zabezpečené DNS v prohlížeči si může zvolit vlastního poskytovatele. Aplikace, která chybu vyvolala, je jediným spolehlivým vodítkem, kdo ze tří odpověděl. Resolver také musí být schopen odpovědět. Jméno pouze pro firmu není v datech veřejného resolveru, takže dotaz selhává na obsahu, ne na připojení.

Zvolte režim podle jmen, která potřebujete

Pokud má zařízení překládat interní jména, musí být resolverem ten, který tyto zóny drží, což obvykle znamená resolver tunelu nebo rozdělené DNS, které organizace dokumentuje. Pokud záleží jen na veřejných jménech, je přísný šifrovaný resolver obhajitelná volba, která navíc odstraňuje dotazy v otevřeném textu. Rozhodnutí vyplývá ze jmen, ne z preference ohledně šifrování.

Chování při selhání se také liší podle režimu. Přísná volba, která nedosáhne svého resolveru, způsobí selhání každého jména, zatímco režim s povoleným záložním postupem může udržet veřejná jména funkční a interní rozbitá. Tento rozdíl vám řekne, v jakém režimu jste, ještě než otevřete obrazovku nastavení. Na spravovaném zařízení rozhoduje schválená zásada a uživatel ji nemůže bezpečně obejít. V osobním nastavení stačí jedno zdokumentované srovnání k určení konfliktu a zamýšlené nastavení soukromí je třeba poté obnovit, nikoli nechat vypnuté.

Zkontrolujte, která aplikace se ptá

Zopakujte selhání v aplikaci, která ho nahlásila, a poznamenejte, zda je chyba jmenná, nebo spojovací. Jmenná chyba v jedné aplikaci a úspěšná stránka v jiné je podpis dvou resolverů, ne rozbitého tunelu.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Tyto příkazy čtou aktuální konfiguraci zařízení a sestavení výrobců mohou podkladové hodnoty přejmenovat nebo omezit, proto berte výstup jako nápovědu, ne jako specifikaci. Dokumentace Androidu k Private DNS popisuje režimy a podobu jména hostitele, kterou zařízení očekává.

Porovnejte tuto odpověď s resolverem, který protlačuje profil VPN. Pokud se neshodují, našli jste konflikt a zbývá otázka, který z nich má podle organizace vyhrát.

Po jednom srovnání obnovte zamýšlené nastavení

Změňte jedno nastavení, znovu otestujte obě jména a nastavení vraťte. Zařízení ponechané v povolujícím režimu překládá interní jména a tiše posílá každý veřejný dotaz tomu, kdo odpoví první, což je změna soukromí, kterou nikdo nezaznamenal.

Zapište výsledek jako pravidlo: interní jména překládá tento resolver, veřejná onen, a prohlížeč zařízení následuje, nebo nenásleduje. Pravidlo, které pojmenuje resolver, je ověřitelné, kdežto poznámka, že VPN je opravená, ne. Pak zkontrolujte, zda na změněném resolveru nezávisí ještě něco jiného v zařízení. Kontroly aktualizací, detekce captive portálů a poštovní klienti dělají vlastní požadavky a selhávají způsoby, které uživatelé hlásí jako nesouvisející problémy.