Por qué el Private DNS del móvil rompe la resolución de nombres de la VPN

Las aplicaciones no logran resolver un nombre mientras el túnel sigue conectado y todos los demás indicadores parecen sanos. En un móvil, la causa habitual es un resolutor elegido por el dispositivo y no por el perfil de VPN. Dos ajustes pueden reclamar cada uno la autoridad sobre la misma consulta. Averiguar cuál gana y si siquiera puede responder la pregunta es más rápido que tocar el túnel.

Dos ajustes deciden el mismo nombre

El ajuste Private DNS del móvil elige un resolutor para el dispositivo, con modos que van de la selección automática a un nombre de host concreto. Un perfil de VPN puede imponer su propio resolutor al mismo tiempo, y los dos se configuran en pantallas distintas y por propietarios distintos. Ninguno anula necesariamente al otro para cada aplicación. Por eso un túnel que funciona y una consulta que falla conviven sin contradicción.

El navegador puede añadir una tercera capa, porque el DNS seguro dentro del navegador puede elegir su propio proveedor. La aplicación que produjo el error es la única guía fiable de cuál de los tres respondió. El resolutor también tiene que poder responder. Un nombre exclusivo de la empresa no está en los datos de un resolutor público, así que la consulta falla por el contenido y no por la conectividad.

Elija el modo según los nombres que necesita

Si el dispositivo debe resolver nombres internos, el resolutor tiene que ser uno que contenga esas zonas, lo que normalmente significa el resolutor del túnel o un esquema de DNS dividido que la organización documente. Si solo importan los nombres públicos, un resolutor cifrado estricto es una opción defendible que además elimina las consultas en texto plano. La decisión se sigue de los nombres, no de una preferencia sobre el cifrado.

El comportamiento ante fallos también cambia según el modo. Una elección estricta que no puede alcanzar su resolutor produce fallos para todos los nombres, mientras que un modo con retroceso permitido puede mantener los nombres públicos funcionando y los internos rotos. Esa diferencia le dice en qué modo está antes de abrir una pantalla de ajustes. En un dispositivo gestionado decide la política aprobada y el usuario no puede anularla con seguridad. En una configuración personal basta una comparación documentada para identificar el conflicto, y el ajuste de privacidad previsto debe restaurarse después en lugar de dejarlo desactivado.

Compruebe qué aplicación pregunta

Reproduzca el fallo en la aplicación que lo notificó y anote si el error es de nombre o de conexión. Un error de nombre en una aplicación y una página correcta en otra es la firma de dos resolutores, no de un túnel roto.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Esos comandos leen la configuración actual del dispositivo, y las compilaciones de los fabricantes pueden renombrar o restringir los valores subyacentes, así que trate la salida como una pista y no como una especificación. La documentación de Android sobre Private DNS describe los modos y la forma de nombre de host que espera un dispositivo.

Compare esa respuesta con el resolutor que impone el perfil de VPN. Si no coinciden, ha encontrado el conflicto y la pregunta que queda es cuál quiere la organización que gane.

Restaure el ajuste previsto tras una comparación

Cambie un ajuste, vuelva a probar los dos nombres y deje el ajuste como estaba. Un dispositivo dejado en un modo permisivo resuelve nombres internos y envía en silencio cada consulta pública a quien responda primero, lo que es un cambio de privacidad que nadie registró.

Escriba el resultado como regla: los nombres internos se resuelven con este resolutor, los públicos con aquel, y el navegador sigue o no sigue al dispositivo. Una regla que nombra el resolutor es verificable, mientras que una nota que dice que la VPN se arregló no lo es. Luego compruebe si algo más del dispositivo depende del resolutor que cambió. Las comprobaciones de actualizaciones, la detección de portales cautivos y los clientes de correo hacen sus propias peticiones, y fallan de formas que los usuarios notifican como problemas no relacionados.