A VPN de Android resolve o nome de host completo pero non o curto

Escribefilesnun emulador de terminal e non volve nada; escribesfiles.corp.examplee o mesmo servidor responde de inmediato. Nada cambiou nas credenciais da VPN, e o servidor DNS privado nunca estivo roto. En Android, a etiqueta curta e o nome completo percorren camiños distintos polo resolvedor, e un deses camiños depende dun axuste que debe fornecer o propietario do túnel. A decisión que ten diante non é que servidor DNS cambiar, senón quen controla a rede que a aplicación usa realmente.

Un dominio de busca non é un enderezo. É unha lista de sufixos que o resolvedor engade a unha etiqueta simple antes de renderse.

Un sufixo de busca e un servidor DNS son campos separados

O enderezo do resolvedor di a Android onde preguntar. O sufixo de busca dille que preguntar cando só fornece a etiqueta máis á esquerda. Ambos viven no mesmo obxecto de rede, e calquera dos dous pode faltar pola súa conta.

Esa independencia é exactamente a razón pola que funciona o nome de host completo. Un nome totalmente cualificado non necesita sufixo, porque xa é a cadea que vai ao servidor.

Android expón esa separación medianteLinkProperties. A lista de servidores DNS e a lista de busca de dominios están no mesmo obxecto, e a segunda adoita estar baleira mesmo cando a primeira está completa. Unha rede con resolvedor pero sen dominio é unha rede na que o sufixo nunca se aplicou, non un servidor que rexeitou o nome curto.

Lea a rede efectiva antes de cambiar nada

Wi-Fi, a rede móbil e unha interface VPN son tres redes separadas, e o túnel pasa a ser a predeterminada en canto sobe. Por iso o sufixo que funcionaba no Wi-Fi da oficina non é automaticamente o sufixo vixente mentres o túnel está activo. Inspeccione a rede na que a aplicación está realmente seleccionada, non a que configurou a semana pasada.

Unha consola de terminal no dispositivo é unha mala testemuña aquí, porque o seuresolv.confreflicte unha visión do resolvedor e non a de cada aplicación.

As barras de enderezos dos navegadores engaden outra capa: unha palabra simple pode tratarse como consulta de busca, ou resolverse mediantea política propia de DNS cifrado do navegador, así que unha páxina que carga en Chrome non demostra nada sobre as consultas do sistema. Probe con algo que use o resolvedor da plataforma e imprima o que devolveu. Despois execute a forma curta e a forma completa na mesma sesión, na mesma rede, e anote cal produciu unha resposta.

Se constrúe a aplicación VPN, anexe o sufixo no construtor

Cando a súa aplicación establece a interface medianteVpnService,addSearchDomainé a entrada admitida para isto. Toma unha cadea de dominio comocorp.example, e non é unha forma alternativa de pasar un enderezo de servidor.

A chamada vincula o sufixo á rede que está a construír, así que non hai ningún axuste global que cambiar despois. Se a aplicación desmonta a interface e a reconstrúe ao reconectar, o novo construtor necesita o sufixo engadido de novo, ou a rede de substitución sobe sen el.

Aquí é onde moitas importacións de perfís de escritorio perden o campo. O exportador escribe o dominio no seu propio modelo, o frontal de Android só asigna as opcións que coñece, e a interface resultante parece correcta en todos os demais aspectos. Un perfil que funciona nun portátil e falla nun teléfono adoita ser un oco de asignación, non un problema de protocolo.

Se só consume a VPN, isto non é cousa súa de configurar

Non hai ningunha edición no lado do cliente que engada un sufixo, nin ningunha propiedade global que poida cambiar para falsificar un. O valor entrégao quen posúe o túnel: no perfil do cliente xestionado, na súa asignación por plataforma ou mediante o que envíe o servidor. Diga en que plataforma está e que nome falla, porque os frontais de escritorio e móbil diverxen precisamente neste campo.

Volver importar un perfil de escritorio non demostra nada sobre a asignación móbil.

Tres condicións deciden se ten un defecto ou unha limitación esperada. Primeira, trata a organización a etiqueta curta como un nome admitido, ou é unha comodidade que só funcionou algunha vez no Wi-Fi da oficina? Segunda, vén a consulta fallida dun navegador, que pode saltar por completo o resolvedor do sistema? Terceira, debe o nome curto ser accesible polo túnel ou só desde a LAN? Se a última resposta é só LAN, engadir un sufixo crearía un nome que se resolve fóra da oficina e despois non se encamiña.

Cando o sufixo está presente e os nomes curtos seguen fallando

Se a lista de busca de dominios xa mostracorp.example, deixe de culpar o sufixo. Comprobe se o resolvedor devolve algunha resposta para o nome ampliado, porque un sufixo só cambia a pregunta que fai. Nunca fai que o servidor sexa autoritativo para unha zona que non aloxa.

Despois comprobe a ruta. Un enderezo que se resolve pero que o túnel non transporta falla ao conectar, o que parece idéntico a unha consulta fallida nun navegador que se rende en silencio.

Os certificados merecen unha mención propia. A validación HTTPS usa o nome de host que realmente escribiu, así que un nome curto que se amplía correctamente segue presentandofilesno apretón de mans. Un certificado emitido parafiles.corp.examplenon validará para el, e ese erro é un comportamento correcto e non un síntoma do problema de DNS co que comezou.

Que facer a continuación

Confirme a separación antes de tocar nada: o nome completo resólvese, o curto non, a mesma aplicación, a mesma sesión. Despois atope a rede seleccionada e lea a súa lista de busca de dominios xunto á súa lista de resolvedores. A que das dúas estea baleira dille quen debe actuar: vostede, se é dono da aplicación; o operador do túnel, se non.

Por último, prefira o nome de servizo completo nos marcadores e na configuración do cliente onde a portabilidade importe. Sobrevive a un cambio de rede, non depende dunha asignación que o frontal móbil quizais non implemente, e coincide co nome para o que se emitiu un certificado.