Vì sao Private DNS trên điện thoại làm hỏng việc tra tên VPN

Các ứng dụng không phân giải được tên trong khi đường hầm vẫn kết nối và mọi chỉ báo khác trông khỏe mạnh. Trên điện thoại, nguyên nhân thường gặp là trình phân giải do thiết bị chọn chứ không phải do hồ sơ VPN. Hai cài đặt có thể mỗi bên đòi quyền quyết định cùng một truy vấn. Tìm ra bên nào thắng, và liệu nó có trả lời được câu hỏi hay không, nhanh hơn là chạm vào đường hầm.

Hai cài đặt quyết định cùng một tên

Cài đặt Private DNS của điện thoại chọn một trình phân giải cho thiết bị, với các chế độ từ tự động chọn đến một tên máy chủ cụ thể. Hồ sơ VPN có thể đẩy trình phân giải của riêng nó cùng lúc, và cả hai được cấu hình trên màn hình khác nhau và bởi chủ sở hữu khác nhau. Không bên nào nhất thiết lấn át bên kia cho mọi ứng dụng. Vì thế một đường hầm hoạt động và một truy vấn thất bại cùng tồn tại mà không mâu thuẫn.

Trình duyệt có thể thêm tầng thứ ba, vì DNS an toàn bên trong trình duyệt có thể chọn nhà cung cấp riêng. Ứng dụng tạo ra lỗi là manh mối đáng tin cậy duy nhất về việc ai trong ba bên đã trả lời. Trình phân giải cũng phải trả lời được. Một tên chỉ tồn tại trong công ty không có trong dữ liệu của trình phân giải công cộng, nên truy vấn thất bại vì nội dung chứ không phải vì kết nối.

Chọn chế độ theo những tên bạn cần

Nếu thiết bị phải phân giải tên nội bộ, trình phân giải phải là bên giữ các vùng đó, thường nghĩa là trình phân giải của đường hầm hoặc một cấu hình DNS chia tách mà tổ chức ghi lại. Nếu chỉ tên công cộng quan trọng, một trình phân giải mã hóa nghiêm ngặt là lựa chọn có thể biện hộ và cũng loại bỏ truy vấn dạng văn bản thuần. Quyết định xuất phát từ các tên, không từ sở thích về mã hóa.

Hành vi khi thất bại cũng khác theo chế độ. Lựa chọn nghiêm ngặt không tới được trình phân giải của nó gây thất bại cho mọi tên, trong khi chế độ có dự phòng được phép có thể giữ tên công cộng hoạt động và tên nội bộ hỏng. Sự khác biệt đó cho bạn biết mình đang ở chế độ nào trước khi mở màn hình cài đặt. Trên thiết bị được quản lý, chính sách đã được phê duyệt quyết định và người dùng không thể vượt qua một cách an toàn. Trong một thiết lập cá nhân, một so sánh có ghi chép là đủ để nhận ra xung đột, và cài đặt quyền riêng tư dự định nên được khôi phục sau đó thay vì để bị tắt.

Kiểm tra ứng dụng nào đang hỏi

Tái hiện thất bại trong ứng dụng đã báo cáo nó, và ghi lại lỗi là lỗi tên hay lỗi kết nối. Lỗi tên từ một ứng dụng và trang thành công ở ứng dụng khác là dấu hiệu của hai trình phân giải, không phải đường hầm hỏng.

adb shell settings get global private_dns_mode
adb shell settings get global private_dns_specifier
adb shell dumpsys connectivity | grep -i -m 5 dns

Những lệnh đó đọc cấu hình hiện tại của thiết bị, và bản dựng của nhà sản xuất có thể đổi tên hoặc giới hạn các giá trị nền, nên hãy coi đầu ra là gợi ý chứ không phải đặc tả. Tài liệu Android về Private DNS mô tả các chế độ và dạng tên máy chủ mà thiết bị mong đợi.

So sánh câu trả lời đó với trình phân giải mà hồ sơ VPN đẩy vào. Nếu chúng không khớp, bạn đã tìm ra xung đột, và câu hỏi còn lại là tổ chức muốn bên nào thắng.

Khôi phục cài đặt dự định sau một lần so sánh

Đổi một cài đặt, thử lại hai tên, rồi đặt cài đặt trở lại. Thiết bị để ở chế độ dễ dãi phân giải tên nội bộ và âm thầm gửi mọi truy vấn công cộng tới bên trả lời trước, đó là một thay đổi quyền riêng tư mà không ai ghi lại.

Viết kết quả thành quy tắc: tên nội bộ do trình phân giải này, tên công cộng do bên kia, và trình duyệt theo hoặc không theo thiết bị. Quy tắc nêu tên trình phân giải thì kiểm chứng được, còn ghi chú nói VPN đã được sửa thì không. Sau đó kiểm tra xem còn gì khác trên thiết bị phụ thuộc vào trình phân giải bạn đã đổi. Kiểm tra cập nhật, phát hiện cổng captive và ứng dụng thư đều gửi yêu cầu riêng, và chúng thất bại theo cách người dùng báo cáo là vấn đề không liên quan.