Android-VPN löst den vollqualifizierten Hostnamen auf, aber nicht den Kurznamen

Sie tippenfilesin einen Terminal-Emulator, und es kommt nichts zurück; Sie tippenfiles.corp.exampleund derselbe Server antwortet sofort. An den VPN-Zugangsdaten hat sich nichts geändert, und der private DNS-Server war nie defekt. Unter Android nehmen der kurze Name und der vollständige Name unterschiedliche Wege durch den Resolver, und einer dieser Wege hängt von einer Einstellung ab, die der Eigentümer des Tunnels liefern muss. Die Entscheidung vor Ihnen ist nicht, welchen DNS-Server Sie wechseln, sondern wer das Netz kontrolliert, das die App tatsächlich benutzt.

Eine Suchdomäne ist keine Adresse. Sie ist eine Liste von Suffixen, die der Resolver an einen nackten Namen anhängt, bevor er aufgibt.

Ein Suchsuffix und ein DNS-Server sind getrennte Felder

Die Resolver-Adresse sagt Android, wo gefragt werden soll. Das Suchsuffix sagt, wonach gefragt werden soll, wenn Sie nur den linken Teil angeben. Beide liegen auf demselben Netzobjekt, und jedes von ihnen kann für sich fehlen.

Genau diese Unabhängigkeit ist der Grund, warum der vollständige Hostname funktioniert. Ein vollqualifizierter Name braucht kein Suffix, weil er bereits die Zeichenkette ist, die zum Server geht.

Android legt die Trennung überLinkPropertiesoffen. Die Liste der DNS-Server und die Domänensuchliste liegen auf demselben Objekt, und die zweite ist oft leer, selbst wenn die erste vollständig gefüllt ist. Ein Netz mit Resolver, aber ohne Domäne, ist ein Netz, in dem das Suffix nie angewendet wurde — kein Server, der den Kurznamen abgelehnt hat.

Lesen Sie das wirksame Netz, bevor Sie etwas ändern

Wi-Fi, Mobilfunk und eine VPN-Schnittstelle sind drei getrennte Netze, und der Tunnel wird zum Standard, sobald er steht. Das Suffix, das im Büro-Wi-Fi funktionierte, ist also nicht automatisch das Suffix, das gilt, während der Tunnel aktiv ist. Prüfen Sie das Netz, auf dem die App tatsächlich ausgewählt ist, nicht das, das Sie letzte Woche konfiguriert haben.

Eine Terminal-Shell auf dem Gerät ist hier ein schlechter Zeuge, denn ihreresolv.confspiegelt eine Sicht auf den Resolver wider und nicht die jeder App.

Adressleisten von Browsern legen eine weitere Ebene darüber: Ein nacktes Wort kann als Suchanfrage behandelt oder überdie eigene Richtlinie des Browsers für verschlüsseltes DNSaufgelöst werden, sodass eine in Chrome geladene Seite nichts über Systemabfragen beweist. Testen Sie mit etwas, das den Resolver der Plattform nutzt und ausgibt, was zurückkam. Führen Sie dann die kurze und die vollständige Form in derselben Sitzung im selben Netz aus und notieren Sie, welche eine Antwort lieferte.

Wenn Sie die VPN-App bauen, hängen Sie das Suffix im Builder an

Wenn Ihre App die Schnittstelle überVpnService,addSearchDomainaufbaut, ist das die unterstützte Eingabe dafür. Sie nimmt eine Domänenzeichenkette wiecorp.exampleentgegen, und sie ist kein alternativer Weg, eine Serveradresse zu übergeben.

Der Aufruf bindet das Suffix an das Netz, das Sie bauen, es gibt also keine globale Einstellung, die Sie hinterher umlegen können. Wenn die App die Schnittstelle abbaut und bei erneutem Verbinden neu aufbaut, muss der neue Builder das Suffix wieder hinzufügen, sonst entsteht das Ersatznetz ohne es.

Hier verlieren viele Desktop-Profilimporte das Feld. Der Exporter schreibt die Domäne in sein eigenes Modell, das Android-Frontend bildet nur die Optionen ab, die es kennt, und die resultierende Schnittstelle sieht in jeder anderen Hinsicht korrekt aus. Ein Profil, das auf dem Laptop funktioniert und auf dem Telefon scheitert, ist meist eine Abbildungslücke, kein Protokollproblem.

Wenn Sie das VPN nur nutzen, ist das nicht Ihre Einstellung

Es gibt keine Bearbeitung auf Clientseite, die ein Suffix hinzufügt, und keine globale Eigenschaft, die Sie ändern könnten, um eines vorzutäuschen. Den Wert liefert, wer den Tunnel besitzt: im Profil des verwalteten Clients, in dessen Abbildung pro Plattform oder durch das, was der Server schickt. Sagen Sie, auf welcher Plattform Sie sind und welcher Name scheitert, denn Desktop- und Mobil-Frontend weichen genau in diesem Feld voneinander ab.

Ein erneuter Import eines Desktop-Profils beweist wieder nichts über die mobile Abbildung.

Drei Bedingungen entscheiden, ob Sie einen Defekt oder eine erwartete Einschränkung haben. Erstens: Behandelt die Organisation den Kurznamen überhaupt als unterstützten Namen, oder ist er eine Bequemlichkeit, die nie außerhalb des Büro-Wi-Fi funktioniert hat? Zweitens: Kommt die fehlschlagende Abfrage von einem Browser, der den System-Resolver vollständig umgehen kann? Drittens: Soll der Kurzname über den Tunnel erreichbar sein oder nur aus dem LAN? Lautet die letzte Antwort nur-LAN, würde ein Suffix einen Namen erzeugen, der außerhalb des Büros aufgelöst wird und dann nicht geroutet werden kann.

Wenn das Suffix vorhanden ist und Kurznamen trotzdem scheitern

Wenn die Domänensuchliste bereitscorp.examplezeigt, geben Sie dem Suffix nicht die Schuld. Prüfen Sie, ob der Resolver überhaupt eine Antwort für den erweiterten Namen liefert, denn ein Suffix ändert nur die Frage, die Sie stellen. Es macht den Server nie zuständig für eine Zone, die er nicht hostet.

Prüfen Sie dann die Route. Eine Adresse, die aufgelöst wird, aber nicht vom Tunnel getragen wird, scheitert beim Verbinden, was genauso aussieht wie eine fehlgeschlagene Abfrage in einem Browser, der still aufgibt.

Zertifikate verdienen eine eigene Erwähnung. Die HTTPS-Validierung verwendet den Hostnamen, den Sie tatsächlich getippt haben, ein korrekt erweiterter Kurzname präsentiert im Handshake also weiterhinfiles. Ein Zertifikat, das fürfiles.corp.exampleausgestellt wurde, wird dafür nicht validieren, und dieser Fehler ist korrektes Verhalten und kein Symptom des DNS-Problems, mit dem Sie begonnen haben.

Was als Nächstes zu tun ist

Bestätigen Sie die Trennung, bevor Sie etwas anfassen: Der vollständige Name wird aufgelöst, der kurze nicht, dieselbe App, dieselbe Sitzung. Suchen Sie dann das ausgewählte Netz und lesen Sie seine Domänensuchliste neben seiner Resolverliste. Welche der beiden leer ist, sagt Ihnen, wer handeln muss — Sie, wenn Ihnen die App gehört; der Tunnelbetreiber, wenn nicht.

Bevorzugen Sie schließlich den vollständigen Dienst-Hostnamen in Lesezeichen und Client-Konfiguration, wo Portabilität zählt. Er übersteht einen Netzwechsel, hängt nicht von einer Abbildung ab, die das Mobil-Frontend vielleicht nicht umsetzt, und entspricht dem Namen, für den ein Zertifikat ausgestellt wurde.