Waarom Private DNS op een telefoon VPN-naamresolutie breekt

Apps kunnen een naam niet oplossen terwijl de tunnel verbonden blijft en alle andere indicatoren gezond lijken. Op een telefoon is de gebruikelijke oorzaak een resolver die door het apparaat wordt gekozen en niet door het VPN-profiel. Twee instellingen kunnen elk aanspraak maken op gezag over dezelfde opzoeking. Uitzoeken welke wint, en of die de vraag überhaupt kan beantwoorden, is sneller dan de tunnel aanraken.

Twee instellingen beslissen over dezelfde naam

De Private DNS-instelling van een telefoon kiest een resolver voor het apparaat, met modi van automatische selectie tot een genoemde hostnaam. Een VPN-profiel kan tegelijk zijn eigen resolver opdringen, en de twee worden op verschillende schermen en door verschillende eigenaren geconfigureerd. Geen van beide overschrijft noodzakelijkerwijs de andere voor elke app. Daarom kunnen een werkende tunnel en een mislukte opzoeking zonder tegenspraak naast elkaar bestaan.

Een browser kan een derde laag toevoegen, omdat veilige DNS in de browser zijn eigen provider kan kiezen. De app die de fout produceerde, is de enige betrouwbare aanwijzing wie van de drie antwoordde. De resolver moet ook kunnen antwoorden. Een naam die alleen binnen het bedrijf bestaat, staat niet in de gegevens van een publieke resolver, dus de opzoeking mislukt op inhoud en niet op verbinding.

Kies de modus op basis van de namen die u nodig hebt

Als het apparaat interne namen moet oplossen, moet de resolver er een zijn die die zones bezit, wat meestal de resolver van de tunnel betekent of een gesplitste DNS-opstelling die de organisatie documenteert. Als alleen publieke namen belangrijk zijn, is een strikte versleutelde resolver een verdedigbare keuze die ook opzoekingen in platte tekst wegneemt. De beslissing volgt uit de namen, niet uit een voorkeur voor versleuteling.

Het faalgedrag verschilt ook per modus. Een strikte keuze die zijn resolver niet kan bereiken, levert fouten op voor elke naam, terwijl een modus met toegestane terugval publieke namen aan de praat kan houden en interne namen stuk. Dat verschil vertelt u in welke modus u zit voordat u een instellingenscherm opent. Op een beheerd apparaat beslist het goedgekeurde beleid, en de gebruiker kan het niet veilig omzeilen. Bij een persoonlijke opstelling is één gedocumenteerde vergelijking genoeg om het conflict te vinden, en de beoogde privacyinstelling moet daarna worden hersteld in plaats van uitgeschakeld te blijven.

Controleer welke app vraagt

Reproduceer de fout in de app die hem meldde, en noteer of de fout een naamfout of een verbindingsfout is. Een naamfout uit de ene app en een geslaagde pagina in een andere is de signatuur van twee resolvers, niet van een kapotte tunnel.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Die opdrachten lezen de huidige configuratie van het apparaat, en fabrieksversies kunnen de onderliggende waarden hernoemen of beperken, dus behandel de uitvoer als een aanwijzing en niet als een specificatie. De Android-documentatie over Private DNS beschrijft de modi en de hostnaamvorm die een apparaat verwacht.

Vergelijk dat antwoord met de resolver die het VPN-profiel opdringt. Als ze het niet eens zijn, hebt u het conflict gevonden, en de resterende vraag is welke de organisatie wil laten winnen.

Herstel de beoogde instelling na één vergelijking

Wijzig één instelling, test de twee namen opnieuw, en zet de instelling terug. Een apparaat dat in een toestemmende modus blijft, lost interne namen op en stuurt elke publieke opzoeking stil naar wie het eerst antwoordt, wat een privacywijziging is die niemand heeft vastgelegd.

Schrijf de uitkomst als regel: interne namen worden via deze resolver opgelost, publieke via die andere, en de browser volgt het apparaat of niet. Een regel die de resolver noemt is testbaar, terwijl een notitie dat de VPN is gerepareerd dat niet is. Controleer dan of iets anders op het apparaat afhangt van de resolver die u hebt gewijzigd. Updatecontroles, detectie van captive portalen en mailclients doen hun eigen verzoeken, en ze falen op manieren die gebruikers als ongerelateerde problemen melden.