VPN Android Menyelesaikan Nama Host Lengkap tetapi Tidak Nama Pendek

Anda mengetikfilesdi emulator terminal dan tidak ada yang kembali; Anda mengetikfiles.corp.exampledan server yang sama langsung menjawab. Tidak ada yang berubah pada kredensial VPN, dan server DNS privat tidak pernah rusak. Di Android, label pendek dan nama lengkap menempuh jalur berbeda melalui resolver, dan salah satu jalur itu bergantung pada pengaturan yang harus disediakan pemilik tunnel. Keputusan di depan Anda bukanlah server DNS mana yang harus diganti, melainkan siapa yang mengendalikan jaringan yang sebenarnya dipakai aplikasi.

Domain pencarian bukan alamat. Itu adalah daftar sufiks yang ditambahkan resolver ke label telanjang sebelum menyerah.

Sufiks pencarian dan server DNS adalah bidang terpisah

Alamat resolver memberi tahu Android ke mana harus bertanya. Sufiks pencarian memberi tahu apa yang harus ditanyakan ketika Anda hanya memberikan label paling kiri. Keduanya berada pada objek jaringan yang sama, dan salah satunya bisa hilang sendiri.

Kemandirian itulah yang membuat nama host lengkap berfungsi. Nama yang sepenuhnya memenuhi syarat tidak perlu sufiks, karena nama itu sudah menjadi string yang dikirim ke server.

Android menampilkan pemisahan itu melaluiLinkProperties. Daftar server DNS dan daftar pencarian domain berada pada objek yang sama, dan yang kedua sering kosong meskipun yang pertama terisi penuh. Jaringan yang memiliki resolver tetapi tidak memiliki domain adalah jaringan tempat sufiks tidak pernah diterapkan — bukan server yang menolak nama pendek.

Baca jaringan efektif sebelum mengubah apa pun

Wi-Fi, jaringan seluler, dan antarmuka VPN adalah tiga jaringan terpisah, dan tunnel menjadi default begitu aktif. Karena itu, sufiks yang berfungsi di Wi-Fi kantor tidak otomatis menjadi sufiks yang berlaku saat tunnel aktif. Periksa jaringan tempat aplikasi benar-benar dipilih, bukan yang Anda konfigurasikan minggu lalu.

Shell terminal di perangkat menjadi saksi yang lemah di sini, karenaresolv.confnya mencerminkan satu sudut pandang resolver, bukan sudut pandang setiap aplikasi.

Bilah alamat peramban menambahkan lapisan lain: kata telanjang bisa diperlakukan sebagai kueri pencarian, atau diselesaikan melaluikebijakan DNS terenkripsi milik peramban itu sendiri, jadi halaman yang dimuat di Chrome tidak membuktikan apa pun tentang pencarian sistem. Uji dengan sesuatu yang memakai resolver platform dan mencetak apa yang kembali. Lalu jalankan bentuk pendek dan bentuk lengkap pada sesi yang sama, di jaringan yang sama, dan catat mana yang menghasilkan jawaban.

Jika Anda membangun aplikasi VPN, lampirkan sufiks di builder

Ketika aplikasi Anda menyiapkan antarmuka melaluiVpnService,addSearchDomainadalah input yang didukung untuk ini. Ia menerima string domain seperticorp.example, dan itu bukan cara alternatif untuk mengirimkan alamat server.

Panggilan itu mengikat sufiks ke jaringan yang sedang Anda bangun, jadi tidak ada pengaturan global yang bisa dibalik setelahnya. Jika aplikasi membongkar antarmuka dan membangunnya ulang saat tersambung kembali, builder baru perlu menambahkan sufiks lagi, atau jaringan pengganti muncul tanpa sufiks itu.

Di sinilah banyak impor profil desktop kehilangan bidang tersebut. Exporter menulis domain ke modelnya sendiri, frontend Android hanya memetakan opsi yang dikenalnya, dan antarmuka yang dihasilkan terlihat benar dalam semua hal lain. Profil yang berfungsi di laptop dan gagal di ponsel biasanya merupakan celah pemetaan, bukan masalah protokol.

Jika Anda hanya memakai VPN, ini bukan urusan Anda untuk mengaturnya

Tidak ada penyuntingan di sisi klien yang menambahkan sufiks, dan tidak ada properti global yang bisa Anda ubah untuk memalsukannya. Nilai itu dikirim oleh pemilik tunnel: di profil klien terkelola, dalam pemetaan per platform, atau melalui apa pun yang dikirim server. Sebutkan platform apa yang Anda pakai dan nama mana yang gagal, karena frontend desktop dan seluler justru berbeda pada bidang ini.

Mengimpor profil desktop lagi tetap tidak membuktikan apa pun tentang pemetaan seluler.

Tiga kondisi menentukan apakah Anda menghadapi cacat atau batasan yang wajar. Pertama, apakah organisasi memperlakukan label pendek sebagai nama yang didukung sama sekali, atau itu kenyamanan yang hanya pernah berfungsi di Wi-Fi kantor? Kedua, apakah pencarian yang gagal berasal dari peramban, yang bisa melewati resolver sistem sepenuhnya? Ketiga, apakah nama pendek dimaksudkan agar dapat dijangkau melalui tunnel, atau hanya dari LAN? Jika jawaban terakhir hanya LAN, menambahkan sufiks akan menciptakan nama yang diselesaikan di luar kantor lalu gagal dirutekan.

Ketika sufiks sudah ada dan nama pendek tetap gagal

Jika daftar pencarian domain sudah menampilkancorp.example, berhentilah menyalahkan sufiks. Periksa apakah resolver sama sekali mengembalikan jawaban untuk nama yang diperluas, karena sufiks hanya mengubah pertanyaan yang Anda ajukan. Ia tidak pernah membuat server berwenang atas zona yang tidak dihostingnya.

Lalu periksa rutenya. Alamat yang diselesaikan tetapi tidak dibawa oleh tunnel gagal saat terhubung, yang tampak identik dengan kegagalan pencarian di peramban yang menyerah diam-diam.

Sertifikat layak mendapat penyebutan sendiri. Validasi HTTPS memakai nama host yang benar-benar Anda ketik, jadi nama pendek yang mengembang dengan benar tetap menyajikanfilesdalam jabat tangan. Sertifikat yang diterbitkan untukfiles.corp.exampletidak akan valid untuknya, dan galat itu adalah perilaku yang benar, bukan gejala masalah DNS yang Anda mulai.

Apa yang harus dilakukan berikutnya

Pastikan pemisahannya sebelum menyentuh apa pun: nama lengkap diselesaikan, nama pendek tidak, aplikasi sama, sesi sama. Lalu temukan jaringan yang dipilih dan baca daftar pencarian domainnya bersama daftar resolvernya. Mana pun dari keduanya yang kosong memberi tahu Anda siapa yang harus bertindak — Anda, jika Anda memiliki aplikasinya; operator tunnel, jika tidak.

Akhirnya, utamakan nama host layanan lengkap di markah dan konfigurasi klien di mana pun portabilitas penting. Ia bertahan dari pergantian jaringan, tidak bergantung pada pemetaan yang mungkin tidak diterapkan frontend seluler, dan cocok dengan nama yang menjadi dasar penerbitan sertifikat.