Чому Private DNS на телефоні ламає пошук імен через VPN

Застосунки не можуть розв'язати ім'я, хоча тунель залишається підключеним і всі інші індикатори виглядають здоровими. На телефоні звичайна причина — резолвер, вибраний пристроєм, а не профілем VPN. Два налаштування можуть кожне претендувати на владу над одним і тим самим запитом. З'ясувати, яке перемагає і чи здатне воно взагалі відповісти на питання, швидше, ніж торкатися тунелю.

Два налаштування вирішують те саме ім'я

Налаштування Private DNS на телефоні вибирає резолвер для пристрою, з режимами від автоматичного вибору до заданого імені хоста. Профіль VPN може одночасно нав'язати власний резолвер, і обидва налаштовуються на різних екранах і різними власниками. Жодне не обов'язково перекриває інше для кожного застосунку. Тому робочий тунель і невдалий запит співіснують без суперечності.

Браузер може додати третій шар, бо безпечний DNS усередині браузера може вибрати власного постачальника. Застосунок, що спричинив помилку, — єдина надійна вказівка на те, хто з трьох відповів. Резолвер теж має вміти відповідати. Ім'я, що існує лише всередині компанії, відсутнє в даних публічного резолвера, тож запит зривається через вміст, а не через з'єднання.

Виберіть режим за потрібними вам іменами

Якщо пристрій має розв'язувати внутрішні імена, резолвер має бути тим, хто тримає ці зони, що зазвичай означає резолвер тунелю або розділену схему DNS, яку документує організація. Якщо важливі лише публічні імена, суворий зашифрований резолвер — захищений вибір, який також прибирає запити відкритим текстом. Рішення випливає з імен, а не з уподобання щодо шифрування.

Поведінка при збої теж залежить від режиму. Суворий вибір, що не може дістатися свого резолвера, дає збій для кожного імені, тоді як режим із дозволеним відкатом може зберегти публічні імена робочими, а внутрішні — зламаними. Ця різниця повідомляє, у якому ви режимі, ще до відкриття екрана налаштувань. На керованому пристрої вирішує затверджена політика, і користувач не може безпечно її обійти. У власному налаштуванні одного задокументованого порівняння достатньо, щоб виявити конфлікт, а задане налаштування приватності слід потім відновити, а не залишати вимкненим.

Перевірте, який застосунок запитує

Відтворіть збій у тому застосунку, який про нього повідомив, і занотуйте, це помилка імені чи з'єднання. Помилка імені в одному застосунку і успішна сторінка в іншому — ознака двох резолверів, а не зламаного тунелю.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Ці команди читають поточну конфігурацію пристрою, а збірки виробників можуть перейменувати або обмежити базові значення, тож ставтеся до виводу як до підказки, а не як до специфікації. Документація Android про Private DNS описує режими й форму імені хоста, яку очікує пристрій.

Порівняйте цю відповідь із резолвером, який нав'язує профіль VPN. Якщо вони розходяться, ви знайшли конфлікт, і залишається питання, якому з них організація хоче дати перемогти.

Відновіть задане налаштування після одного порівняння

Змініть одне налаштування, перевірте обидва імені ще раз і поверніть налаштування. Пристрій, залишений у дозвільному режимі, розв'язує внутрішні імена й тихо надсилає кожен публічний запит тому, хто відповість першим, а це зміна приватності, яку ніхто не зафіксував.

Запишіть результат як правило: внутрішні імена розв'язує цей резолвер, публічні — той, а браузер іде за пристроєм чи ні. Правило, що називає резолвер, можна перевірити, а нотатка про те, що VPN виправлено, — ні. Потім перевірте, чи не залежить від зміненого резолвера щось інше на пристрої. Перевірки оновлень, виявлення captive-порталів і поштові клієнти роблять власні запити, і вони збиваються так, як користувачі повідомляють про не пов'язані проблеми.