Γιατί το Private DNS στο τηλέφωνο χαλάει την αναζήτηση ονομάτων VPN

Οι εφαρμογές αποτυγχάνουν να επιλύσουν ένα όνομα ενώ η σήραγγα παραμένει συνδεδεμένη και κάθε άλλη ένδειξη φαίνεται υγιής. Στο τηλέφωνο, η συνήθης αιτία είναι ένας resolver που επιλέγει η συσκευή και όχι το προφίλ VPN. Δύο ρυθμίσεις μπορούν η καθεμία να διεκδικεί εξουσία πάνω στην ίδια αναζήτηση. Το να βρεις ποια κερδίζει και αν μπορεί καν να απαντήσει στο ερώτημα είναι ταχύτερο από το να πειράξεις τη σήραγγα.

Δύο ρυθμίσεις αποφασίζουν το ίδιο όνομα

Η ρύθμιση Private DNS του τηλεφώνου επιλέγει resolver για τη συσκευή, με λειτουργίες από την αυτόματη επιλογή έως ένα δηλωμένο όνομα κεντρικού υπολογιστή. Ένα προφίλ VPN μπορεί ταυτόχρονα να επιβάλει τον δικό του resolver, και τα δύο ρυθμίζονται από διαφορετικές οθόνες και διαφορετικούς ιδιοκτήτες. Κανένα δεν υπερισχύει απαραίτητα του άλλου για κάθε εφαρμογή. Γι' αυτό μια σήραγγα που δουλεύει και μια αναζήτηση που αποτυγχάνει συνυπάρχουν χωρίς αντίφαση.

Ένα πρόγραμμα περιήγησης μπορεί να προσθέσει τρίτο επίπεδο, γιατί το ασφαλές DNS μέσα του μπορεί να διαλέξει δικό του πάροχο. Η εφαρμογή που παρήγαγε το σφάλμα είναι ο μόνος αξιόπιστος οδηγός για το ποιος από τους τρεις απάντησε. Ο resolver πρέπει επίσης να μπορεί να απαντήσει. Ένα όνομα μόνο για την εταιρεία δεν υπάρχει στα δεδομένα δημόσιου resolver, οπότε η αναζήτηση αποτυγχάνει λόγω περιεχομένου και όχι λόγω συνδεσιμότητας.

Διαλέξτε τη λειτουργία με βάση τα ονόματα που χρειάζεστε

Αν η συσκευή πρέπει να επιλύει εσωτερικά ονόματα, ο resolver πρέπει να είναι αυτός που κατέχει αυτές τις ζώνες, κάτι που συνήθως σημαίνει τον resolver της σήραγγας ή μια διάταξη διαχωρισμένου DNS που τεκμηριώνει ο οργανισμός. Αν μετρούν μόνο τα δημόσια ονόματα, ένας αυστηρός κρυπτογραφημένος resolver είναι υπερασπίσιμη επιλογή που αφαιρεί και τις αναζητήσεις απλού κειμένου. Η απόφαση προκύπτει από τα ονόματα, όχι από προτίμηση για την κρυπτογράφηση.

Η συμπεριφορά απέναντι σε αποτυχία διαφέρει επίσης ανά λειτουργία. Μια αυστηρή επιλογή που δεν φτάνει στον resolver της παράγει αποτυχία για κάθε όνομα, ενώ μια λειτουργία με επιτρεπόμενη υποχώρηση μπορεί να κρατήσει τα δημόσια ονόματα σε λειτουργία και τα εσωτερικά χαλασμένα. Αυτή η διαφορά σου λέει σε ποια λειτουργία βρίσκεσαι πριν ανοίξεις οθόνη ρυθμίσεων. Σε διαχειριζόμενη συσκευή αποφασίζει η εγκεκριμένη πολιτική και ο χρήστης δεν μπορεί να την παρακάμψει με ασφάλεια. Σε προσωπική ρύθμιση αρκεί μία τεκμηριωμένη σύγκριση για να εντοπιστεί η σύγκρουση, και η επιδιωκόμενη ρύθμιση ιδιωτικότητας πρέπει να αποκατασταθεί μετά αντί να μείνει απενεργοποιημένη.

Έλεγξε ποια εφαρμογή ρωτά

Αναπαράγαγε την αποτυχία στην εφαρμογή που την ανέφερε και σημείωσε αν το σφάλμα είναι σφάλμα ονόματος ή σφάλμα σύνδεσης. Σφάλμα ονόματος σε μια εφαρμογή και επιτυχής σελίδα σε άλλη είναι το αποτύπωμα δύο resolver, όχι χαλασμένης σήραγγας.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Αυτές οι εντολές διαβάζουν την τρέχουσα διαμόρφωση της συσκευής, και οι εκδόσεις των κατασκευαστών μπορούν να μετονομάσουν ή να περιορίσουν τις υποκείμενες τιμές, οπότε αντιμετώπισε την έξοδο ως υπόδειξη και όχι ως προδιαγραφή. Η τεκμηρίωση του Android για το Private DNS περιγράφει τις λειτουργίες και τη μορφή ονόματος κεντρικού υπολογιστή που περιμένει μια συσκευή.

Σύγκρινε αυτή την απάντηση με τον resolver που επιβάλλει το προφίλ VPN. Αν διαφωνούν, βρήκες τη σύγκρουση και το εναπομείναν ερώτημα είναι ποια θέλει ο οργανισμός να κερδίσει.

Επαναφορά της επιδιωκόμενης ρύθμισης μετά από μία σύγκριση

Άλλαξε μία ρύθμιση, δοκίμασε ξανά τα δύο ονόματα και επανάφερε τη ρύθμιση. Μια συσκευή που μένει σε επιτρεπτική λειτουργία επιλύει εσωτερικά ονόματα και στέλνει ήσυχα κάθε δημόσια αναζήτηση σε όποιον απαντήσει πρώτος, κάτι που είναι αλλαγή ιδιωτικότητας που κανείς δεν κατέγραψε.

Γράψε το αποτέλεσμα ως κανόνα: τα εσωτερικά ονόματα επιλύονται μέσω αυτού του resolver, τα δημόσια μέσω εκείνου, και το πρόγραμμα περιήγησης ακολουθεί ή δεν ακολουθεί τη συσκευή. Ένας κανόνας που ονομάζει τον resolver είναι ελέγξιμος, ενώ μια σημείωση ότι το VPN διορθώθηκε δεν είναι. Μετά έλεγξε αν κάτι άλλο στη συσκευή εξαρτάται από τον resolver που άλλαξες. Οι έλεγχοι ενημερώσεων, η ανίχνευση captive πυλών και οι πελάτες αλληλογραφίας κάνουν τα δικά τους αιτήματα, και αποτυγχάνουν με τρόπους που οι χρήστες αναφέρουν ως άσχετα προβλήματα.