La VPN de Android resuelve el nombre de host completo pero no el corto

Escribefilesen un emulador de terminal y no vuelve nada; escribefiles.corp.exampley el mismo servidor responde al instante. Nada ha cambiado en las credenciales de la VPN, y el servidor DNS privado nunca estuvo roto. En Android, la etiqueta corta y el nombre completo recorren rutas distintas por el resolutor, y una de esas rutas depende de un ajuste que debe proporcionar el propietario del túnel. La decisión que tiene delante no es qué servidor DNS cambiar, sino quién controla la red que la aplicación usa realmente.

Un dominio de búsqueda no es una dirección. Es una lista de sufijos que el resolutor añade a una etiqueta simple antes de rendirse.

Un sufijo de búsqueda y un servidor DNS son campos separados

La dirección del resolutor dice a Android dónde preguntar. El sufijo de búsqueda le dice qué preguntar cuando solo proporciona la etiqueta más a la izquierda. Ambos viven en el mismo objeto de red, y cualquiera de los dos puede faltar por su cuenta.

Esa independencia es exactamente la razón por la que funciona el nombre de host completo. Un nombre totalmente cualificado no necesita sufijo, porque ya es la cadena que va al servidor.

Android expone esa separación medianteLinkProperties. La lista de servidores DNS y la lista de búsqueda de dominios están en el mismo objeto, y la segunda suele estar vacía incluso cuando la primera está completa. Una red con resolutor pero sin dominio es una red en la que el sufijo nunca se aplicó, no un servidor que rechazó el nombre corto.

Lea la red efectiva antes de cambiar nada

Wi-Fi, la red móvil y una interfaz VPN son tres redes separadas, y el túnel pasa a ser la predeterminada en cuanto sube. Por eso el sufijo que funcionaba en el Wi-Fi de la oficina no es automáticamente el sufijo vigente mientras el túnel está activo. Inspeccione la red en la que la aplicación está realmente seleccionada, no la que configuró la semana pasada.

Un intérprete de terminal en el dispositivo es un mal testigo aquí, porque suresolv.confrefleja una visión del resolutor y no la de cada aplicación.

Las barras de direcciones de los navegadores añaden otra capa: una palabra simple puede tratarse como consulta de búsqueda o resolverse mediantela política propia de DNS cifrado del navegador, así que una página que carga en Chrome no demuestra nada sobre las consultas del sistema. Pruebe con algo que use el resolutor de la plataforma e imprima lo que devolvió. Después ejecute la forma corta y la forma completa en la misma sesión, en la misma red, y anote cuál produjo una respuesta.

Si construye la aplicación VPN, adjunte el sufijo en el constructor

Cuando su aplicación establece la interfaz medianteVpnService,addSearchDomaines la entrada admitida para esto. Toma una cadena de dominio comocorp.example, y no es una forma alternativa de pasar una dirección de servidor.

La llamada vincula el sufijo a la red que está construyendo, así que no hay ningún ajuste global que cambiar después. Si la aplicación desmonta la interfaz y la reconstruye al reconectar, el nuevo constructor necesita el sufijo añadido de nuevo, o la red de reemplazo sube sin él.

Aquí es donde muchas importaciones de perfiles de escritorio pierden el campo. El exportador escribe el dominio en su propio modelo, el frontend de Android solo asigna las opciones que conoce, y la interfaz resultante parece correcta en todos los demás aspectos. Un perfil que funciona en un portátil y falla en un teléfono suele ser un hueco de asignación, no un problema de protocolo.

Si solo consume la VPN, esto no es cosa suya de configurar

No hay ninguna edición en el lado del cliente que añada un sufijo, ni ninguna propiedad global que pueda cambiar para falsificar uno. El valor lo entrega quien posee el túnel: en el perfil del cliente gestionado, en su asignación por plataforma o mediante lo que envíe el servidor. Diga en qué plataforma está y qué nombre falla, porque los frontends de escritorio y móvil divergen precisamente en este campo.

Volver a importar un perfil de escritorio no demuestra nada sobre la asignación móvil.

Tres condiciones deciden si tiene un defecto o una limitación esperada. Primera, ¿trata la organización la etiqueta corta como un nombre admitido, o es una comodidad que solo funcionó alguna vez en el Wi-Fi de la oficina? Segunda, ¿viene la consulta fallida de un navegador, que puede saltarse por completo el resolutor del sistema? Tercera, ¿debe el nombre corto ser accesible por el túnel o solo desde la LAN? Si la última respuesta es solo LAN, añadir un sufijo crearía un nombre que se resuelve fuera de la oficina y luego no se enruta.

Cuando el sufijo está presente y los nombres cortos siguen fallando

Si la lista de búsqueda de dominios ya muestracorp.example, deje de culpar al sufijo. Compruebe si el resolutor devuelve alguna respuesta para el nombre ampliado, porque un sufijo solo cambia la pregunta que hace. Nunca hace que el servidor sea autoritativo para una zona que no aloja.

Después compruebe la ruta. Una dirección que se resuelve pero que el túnel no transporta falla al conectar, lo que parece idéntico a una consulta fallida en un navegador que se rinde en silencio.

Los certificados merecen una mención propia. La validación HTTPS usa el nombre de host que realmente escribió, así que un nombre corto que se amplía correctamente sigue presentandofilesen el saludo. Un certificado emitido parafiles.corp.exampleno validará para él, y ese error es un comportamiento correcto y no un síntoma del problema de DNS con el que empezó.

Qué hacer a continuación

Confirme la separación antes de tocar nada: el nombre completo se resuelve, el corto no, la misma aplicación, la misma sesión. Después encuentre la red seleccionada y lea su lista de búsqueda de dominios junto a su lista de resolutores. La que de las dos esté vacía le dice quién debe actuar: usted, si es dueño de la aplicación; el operador del túnel, si no.

Por último, prefiera el nombre de servicio completo en los marcadores y en la configuración del cliente donde la portabilidad importe. Sobrevive a un cambio de red, no depende de una asignación que el frontend móvil quizá no implemente, y coincide con el nombre para el que se emitió un certificado.