Por que o Private DNS no celular quebra a resolução de nomes da VPN

Os aplicativos não conseguem resolver um nome enquanto o túnel continua conectado e todos os outros indicadores parecem saudáveis. No celular, a causa habitual é um resolvedor escolhido pelo dispositivo e não pelo perfil de VPN. Duas configurações podem cada uma reivindicar autoridade sobre a mesma consulta. Descobrir qual vence, e se ela consegue sequer responder à pergunta, é mais rápido do que mexer no túnel.

Duas configurações decidem o mesmo nome

A configuração Private DNS do celular escolhe um resolvedor para o dispositivo, com modos que vão da seleção automática a um nome de host específico. Um perfil de VPN pode impor o próprio resolvedor ao mesmo tempo, e os dois são configurados em telas diferentes e por proprietários diferentes. Nenhum anula necessariamente o outro para cada aplicativo. Por isso um túnel que funciona e uma consulta que falha convivem sem contradição.

O navegador pode acrescentar uma terceira camada, porque o DNS seguro dentro dele pode escolher o próprio provedor. O aplicativo que produziu o erro é o único guia confiável de qual dos três respondeu. O resolvedor também precisa conseguir responder. Um nome exclusivo da empresa não está nos dados de um resolvedor público, então a consulta falha pelo conteúdo e não pela conectividade.

Escolha o modo conforme os nomes de que precisa

Se o dispositivo precisa resolver nomes internos, o resolvedor tem de ser um que detenha essas zonas, o que normalmente significa o resolvedor do túnel ou um arranjo de DNS dividido que a organização documente. Se só importam os nomes públicos, um resolvedor criptografado rígido é uma escolha defensável que também elimina consultas em texto simples. A decisão decorre dos nomes, não de uma preferência sobre criptografia.

O comportamento em caso de falha também varia conforme o modo. Uma escolha rígida que não alcança o próprio resolvedor produz falhas para todos os nomes, enquanto um modo com retorno permitido pode manter os nomes públicos funcionando e os internos quebrados. Essa diferença informa em que modo você está antes de abrir uma tela de configurações. Num dispositivo gerenciado, a política aprovada decide e o usuário não pode contorná-la com segurança. Num arranjo pessoal, uma comparação documentada basta para identificar o conflito, e a configuração de privacidade pretendida deve ser restaurada depois, em vez de ficar desativada.

Verifique qual aplicativo pergunta

Reproduza a falha no aplicativo que a relatou, e anote se o erro é de nome ou de conexão. Um erro de nome num aplicativo e uma página bem-sucedida noutro é a assinatura de dois resolvedores, não de um túnel quebrado.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Esses comandos leem a configuração atual do dispositivo, e as compilações dos fabricantes podem renomear ou restringir os valores subjacentes, então trate a saída como uma pista e não como uma especificação. A documentação do Android sobre Private DNS descreve os modos e a forma de nome de host que um dispositivo espera.

Compare essa resposta com o resolvedor que o perfil de VPN impõe. Se não coincidirem, você encontrou o conflito, e a pergunta que resta é qual a organização quer que vença.

Restaure a configuração pretendida após uma comparação

Mude uma configuração, teste os dois nomes novamente e reponha a configuração. Um dispositivo deixado num modo permissivo resolve nomes internos e envia em silêncio cada consulta pública a quem responder primeiro, o que é uma mudança de privacidade que ninguém registrou.

Escreva o resultado como regra: nomes internos resolvem-se por este resolvedor, públicos por aquele, e o navegador segue ou não segue o dispositivo. Uma regra que nomeia o resolvedor é verificável, enquanto uma nota dizendo que a VPN foi consertada não é. Depois verifique se algo mais no dispositivo depende do resolvedor que você mudou. Verificações de atualização, detecção de portais cativos e clientes de e-mail fazem as próprias solicitações, e falham de maneiras que os usuários relatam como problemas não relacionados.