Warum Private DNS auf dem Handy die VPN-Namensauflösung bricht

Apps können einen Namen nicht auflösen, während der Tunnel verbunden bleibt und alle anderen Anzeigen gesund aussehen. Auf einem Handy ist die übliche Ursache ein Resolver, den das Gerät auswählt und nicht das VPN-Profil. Zwei Einstellungen können jeweils die Hoheit über dieselbe Abfrage beanspruchen. Herauszufinden, welche gewinnt und ob sie die Frage überhaupt beantworten kann, geht schneller, als den Tunnel anzufassen.

Zwei Einstellungen entscheiden über denselben Namen

Die Private-DNS-Einstellung eines Handys wählt einen Resolver für das Gerät, mit Modi von der automatischen Auswahl bis zu einem benannten Hostnamen. Ein VPN-Profil kann gleichzeitig seinen eigenen Resolver vorgeben, und beide werden auf verschiedenen Bildschirmen von verschiedenen Instanzen konfiguriert. Keine überschreibt zwangsläufig die andere für jede Anwendung. Deshalb können ein funktionierender Tunnel und eine fehlschlagende Abfrage ohne Widerspruch nebeneinander bestehen.

Ein Browser kann eine dritte Ebene hinzufügen, weil sicheres DNS im Browser einen eigenen Anbieter wählen kann. Die Anwendung, die den Fehler erzeugt hat, ist der einzige verlässliche Hinweis darauf, wer von den dreien geantwortet hat. Der Resolver muss auch antworten können. Ein firmeninterner Name steht nicht in den Daten eines öffentlichen Resolvers, deshalb scheitert die Abfrage am Inhalt und nicht an der Verbindung.

Wählen Sie den Modus nach den Namen, die Sie brauchen

Muss das Gerät interne Namen auflösen, muss der Resolver die betreffenden Zonen führen, was meist der Resolver des Tunnels oder eine geteilte DNS-Regelung ist, die die Organisation dokumentiert. Zählen nur öffentliche Namen, ist ein strenger verschlüsselter Resolver eine vertretbare Wahl, die auch Abfragen im Klartext beseitigt. Die Entscheidung folgt aus den Namen, nicht aus einer Vorliebe für Verschlüsselung.

Auch das Fehlerverhalten hängt vom Modus ab. Eine strenge Wahl, die ihren Resolver nicht erreicht, erzeugt Fehler für jeden Namen, während ein Modus mit erlaubtem Rückfall öffentliche Namen am Laufen und interne Namen kaputt lassen kann. Dieser Unterschied sagt Ihnen, in welchem Modus Sie sind, bevor Sie einen Einstellungsbildschirm öffnen. Auf einem verwalteten Gerät entscheidet die genehmigte Richtlinie, und der Nutzer kann sie nicht sicher übergehen. In einer privaten Einrichtung genügt ein dokumentierter Vergleich, um den Konflikt zu benennen, und die beabsichtigte Datenschutzeinstellung sollte danach wiederhergestellt statt deaktiviert gelassen werden.

Prüfen Sie, welche App fragt

Reproduzieren Sie den Fehler in der Anwendung, die ihn gemeldet hat, und notieren Sie, ob es ein Namensfehler oder ein Verbindungsfehler ist. Ein Namensfehler in einer App und eine erfolgreiche Seite in einer anderen sind die Signatur zweier Resolver und nicht eines defekten Tunnels.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Diese Befehle lesen die aktuelle Konfiguration des Geräts, und Hersteller-Builds können die zugrunde liegenden Werte umbenennen oder einschränken, behandeln Sie die Ausgabe also als Hinweis und nicht als Spezifikation. Die Android-Dokumentation zu Private DNS beschreibt die Modi und die Hostnamenform, die ein Gerät erwartet.

Vergleichen Sie diese Antwort mit dem Resolver, den das VPN-Profil vorgibt. Wenn sie sich widersprechen, haben Sie den Konflikt gefunden, und die verbleibende Frage ist, welcher gewinnen soll.

Stellen Sie die beabsichtigte Einstellung nach einem Vergleich wieder her

Ändern Sie eine Einstellung, testen Sie die beiden Namen erneut und stellen Sie die Einstellung zurück. Ein Gerät, das in einem erlaubenden Modus bleibt, löst interne Namen auf und schickt jede öffentliche Abfrage still an den, der zuerst antwortet, was eine Datenschutzänderung ist, die niemand festgehalten hat.

Schreiben Sie das Ergebnis als Regel: interne Namen löst dieser Resolver auf, öffentliche jener, und der Browser folgt dem Gerät oder nicht. Eine Regel, die den Resolver nennt, ist prüfbar, eine Notiz, das VPN sei repariert, nicht. Prüfen Sie dann, ob etwas anderes auf dem Gerät von dem geänderten Resolver abhängt. Update-Prüfungen, die Erkennung von Captive Portalen und Mail-Clients stellen ihre eigenen Anfragen, und sie scheitern auf Arten, die Nutzer als unzusammenhängende Probleme melden.