DNS الخاص في Android أم تطبيق DoH؟

يشفّر DNS الخاص في Android الاستعلامات عبر DNS over TLS دون أي تطبيق. متى يعمل تطبيق DoH أفضل، وكيف يتعارضان، وما لا يصلحه أي منهما.

نُشر في مدة القراءة: 7 داقرأ بالإنجليزية →

إن بحثت عن «DNS مشفّر على Android»، فقد صادفت غالبًا إجابتين. الأولى تقول: لا تحتاج تطبيقًا، فقط فعّل Private DNS. والثانية تقول: ثبّت تطبيقًا يستخدم DNS over HTTPS. كلتاهما معقولة. فهما تحلّان المشكلة نفسها بطريقتين مختلفتين وتفشلان في مواضع مختلفة. يشرح هذا الدليل كيف تعمل كل منهما، وأين تتعثر، وكيف تختار. نحن نطوّر GreenTunnel، الذي يتضمن عميل DoH، فاقرأ وأنت تضع ذلك في اعتبارك.

ما هو Private DNS فعلًا

أضافت Google ميزة Private DNS في Android 9. تجدها عادة في الإعدادات ← الشبكة والإنترنت ← DNS الخاص، وإن كان المسار الدقيق يختلف بين مصنّعي الهواتف. وفيها ثلاثة خيارات:

  • إيقاف: تذهب الاستعلامات نصًا عاديًا إلى أي خادم DNS تعطيه الشبكة الحالية.
  • تلقائي: الخيار الافتراضي. يحاول Android استخدام DNS over TLS مع خادم DNS الخاص بالشبكة نفسها، ويستخدمه إن كان ذلك الخادم يدعمه. وإن لم يكن، تبقى الاستعلامات نصًا عاديًا. يُسمّى هذا غالبًا الوضع الانتهازي (opportunistic)، وفي معظم الشبكات المنزلية وشبكات الهاتف يعني عدم وجود أي تشفير.
  • اسم مضيف لمزود DNS الخاص: تكتب اسم المضيف لمزود ما، مثل dns.google لـ Google Public DNS. عندها يصرّ Android على ذلك الخادم. وإن لم يستطع الوصول إليه، لا يعود بصمت إلى DNS العادي. يقول إعلان Google إن Android يضع بدلًا من ذلك علامة على الشبكة بأنها بلا اتصال بالإنترنت.

DNS over TLS معيار محدد في RFC 7858، ويستخدم منفذه الخاص، 853. وهذا المنفذ المخصص هو نقطة قوته ونقطة ضعفه في آن: فهو نظيف وخفيف، لكن من السهل أيضًا على الشبكة التعرف عليه وحجبه.

ماذا عن DNS over HTTPS في Android؟

هناك تفصيل يغفل عنه كثير من الأدلة. في يوليو 2022 أعلنت Google أن الأجهزة التي تعمل بـ Android 11 وما بعده، عبر تحديث نظام Google Play، تستخدم DNS over HTTP/3 بدلًا من DNS over TLS مع خوادم DNS المعروفة التي تدعمه. وكانت Google وCloudflare المزودَين المشمولين عند الإطلاق. يؤكد منشور Google أن خدمة DNS التي تستخدمها لا تتغير، بل تتغير طريقة النقل فقط. ما زلت تكتب اسم مضيف في خانة Private DNS نفسها. لا يوجد حقل لعنوان DoH مخصص، ومع المزودين الآخرين يبقى Private DNS هو DNS over TLS.

ما الذي يفعله تطبيق DoH بشكل مختلف

يتولى تطبيق DoH، أو تطبيق VPN فيه عميل DoH، إدارة DNS للجهاز كله عبر خانة VPN في Android. ينتقل كل استعلام داخل HTTPS إلى خادم DoH مثل https://cloudflare-dns.com/dns-query، كما يحدده RFC 8484.

  • يستخدم المنفذ 443. يبدو للشبكة إلى حد كبير مثل أي اتصال HTTPS آخر. والشبكة التي تحجب المنفذ 853 لمنع DNS over TLS تتركه عادة دون مساس.
  • أنت تختار الخادم والبروتوكول. يمكن للتطبيقات أن تعرض مزودي DoH وDoT جنبًا إلى جنب وأن تنتقل بينهم.
  • يمكنه تجنب محلّل الشبكة تمامًا. يتصل العميل الجيد بعناوين IP ثابتة للإقلاع (bootstrap) لخادم DoH، فلا يعتمد حتى العثور على خادم DNS على DNS الشبكة.
  • يشغل خانة VPN. يسمح Android بشبكة VPN واحدة في كل مرة. لا يمكن لتطبيق DoH أن يعمل إلى جانب تطبيق VPN آخر.

مقارنة جنبًا إلى جنب

Private DNS (اسم مضيف)تطبيق DoH
يحتاج تطبيقًا إضافيًالانعم
البروتوكولDNS over TLS، أو DNS over HTTP/3 لبعض المزودين المعروفين على Android 11 وما بعدهDNS over HTTPS (وبعض التطبيقات تقدّم DoT أيضًا)
المنفذ853 لـ DoT443
إن كان الخادم محجوبًاتظهر الشبكة بلا إنترنت حتى تغيّر الإعدادحسب التطبيق. بعضها ينتقل إلى مزود آخر
يشغل خانة VPNلانعم
يعمل مع تطبيق VPN آخرنعم، مع التعارضات الموضحة أدناهلا، شبكة VPN واحدة فقط في كل مرة
يساعد ضد فلترة الاسم في HTTPSلافقط إن كان التطبيق يفعل ذلك أيضًا

أين يتعثر Private DNS

  • الشبكات التي تحجب المنفذ 853. بعض أماكن العمل والمدارس وشبكات Wi-Fi العامة تحجبه. وفي وضع اسم المضيف، تبدو الشبكة حينها معطلة. راجع الموقع يفتح على بيانات الهاتف لا على Wi-Fi؟ لترى كيف يظهر ذلك.
  • خصوصيات كل شبكة. الإعداد عام، لكن الشبكات ليست متشابهة. قد يعمل اسم مضيف على بيانات الهاتف ويفشل على شبكة Wi-Fi معينة.
  • صفحات تسجيل الدخول على شبكات Wi-Fi العامة. قد لا تعمل شبكات الفنادق والمقاهي التي لها صفحة تسجيل دخول بشكل سليم مع اسم مضيف ثابت حتى تُكمل تسجيل الدخول. والتبديل إلى تلقائي للحظة يحل المشكلة عادة.
  • الوضع التلقائي غالبًا غير مشفّر. معظم خوادم DNS الخاصة بمزودي الإنترنت لا تقدّم DNS over TLS، فيبقى الوضع التلقائي بصمت على DNS العادي.

أين يتعثر تطبيق DoH

  • يجب أن يظل يعمل. إن أوقف Android التطبيق لتوفير البطارية، تتوقف حماية DNS أيضًا. راجع إبقاء VPN يعمل على Android.
  • يمنع شبكات VPN الأخرى. لا يمكنك جمعه مع VPN العمل على الهاتف نفسه.
  • قد يُحجب خادمه بعنوان IP. لا يفيد المنفذ 443 إن حجبت الشبكة عنوان خادم DoH. والعملاء القادرون على الانتقال إلى مزود آخر يتعاملون مع ذلك بشكل أفضل.

التعارض: Private DNS مع تطبيق VPN

منذ Android 10، يُطبَّق اسم مضيف Private DNS أيضًا أثناء تشغيل تطبيق VPN. تشير تعليمات Google Public DNS نفسها إلى أن الـ VPN على Android 9 كان يتجاوز Private DNS، وأن ذلك أُصلح في Android 10. عمليًا يعني ذلك أنك إن ضبطت اسم مضيف ثم شغّلت تطبيق VPN له DNS خاص به، يرسل Android الاستعلامات إلى مزود Private DNS بدلًا من ذلك. فلا يرى DNS المشفّر في الـ VPN ولا قائمة الحظر فيه تلك الأسماء أبدًا. وإن كان ذلك المزود محجوبًا على الشبكة الحالية، تفشل كل المواقع.

مع GreenTunnel، اضبط Private DNS على إيقاف أو تلقائي أثناء استخدامه. وهذا من أوائل الفحوص في ما زال الموقع محجوبًا؟

كيف يتعامل GreenTunnel مع DNS

GreenTunnel شبكة VPN محلية فيها عميل DNS مشفّر مدمج. في الإعدادات ← DNS تختار أحد ثلاثة مزودين، أو تلقائي:

  • Cloudflare، DoH، https://cloudflare-dns.com/dns-query
  • Google، DoH، https://dns.google/dns-query
  • Quad9، DoT، dns.quad9.net:853

يجرّب الوضع التلقائي Cloudflare، ثم Google، ثم Quad9، ويواصل استخدام أيها أجاب. يُوصَل إلى كل مزود عبر عناوين IP إقلاع مدمجة، فلا يُسأل DNS مزود الإنترنت أبدًا. لا يدعم DoQ. الشرح الكامل في شرح DoH وDoT.

الفرق عن تطبيق DNS فقط هو ما يحدث بعد الاستعلام. يعيد GreenTunnel أيضًا تشكيل الحزمة الأولى من اتصالات HTTPS لتجاوز فلترة الاسم البسيطة، ويعرض الاتصالات لكل تطبيق في Requester، ويمكنه اختبار موقع عبر فحص الرابط. نحن لا نجمع أبدًا النطاقات التي تستعلم عنها.

حدود DNS المشفّر بصراحة

يصلح DNS المشفّر، بأي طريقة حصلت عليه، نوعًا واحدًا من الحجب: شبكة تزيّف إجابات DNS أو تُسقطها. لا يمنع الشبكة من قراءة اسم الموقع في مصافحة HTTPS، فذلك يحتاج إعادة تشكيل الحزم أو ECH. ولا يتجاوز حجب IP. ولا يخفي عنوان IP الخاص بك، وما زال مزود الإنترنت قادرًا على رؤية العناوين التي تتصل بها. ويرى مزود DNS الذي تختاره استعلاماتك بدلًا من مزود الإنترنت، فاختر مزودًا تثق بسياسته. وGreenTunnel ليس أداة لإخفاء الهوية أيضًا.

أيهما تستخدم؟

  • تريد فقط تشفير الاستعلامات على شبكات تتصرف بشكل طبيعي؟ Private DNS مع اسم مضيف لمزود بسيط ولا يحتاج تطبيقًا.
  • شبكتك تحجب المنفذ 853، أو تزيّف DNS، أو تفلتر أسماء المواقع؟ تطبيق DoH، ويُفضَّل أن يعالج فلترة الاسم أيضًا، هو الأنسب. اضبط Private DNS على إيقاف أو تلقائي.
  • تستخدم VPN العمل بالفعل؟ ابقَ مع Private DNS، لأنه لا يمكن تشغيل إلا تطبيق VPN واحد.

GreenTunnel مجاني على Android وiPhone، مع Premium اختياري. شاهد كيف يعمل في الصفحة الرئيسية.

الأسئلة الشائعة

هل يستخدم Private DNS في Android بروتوكول DoH أم DoT؟

DNS over TLS على المنفذ 853. ومنذ تحديث نظام Google Play في 2022، يستخدم Android 11 وما بعده DNS over HTTP/3 بدلًا منه مع بعض المزودين المعروفين الذين يدعمونه، بدءًا بـ Google وCloudflare. لا يمكنك إدخال عنوان DoH مخصص.

هل أبقي Private DNS مفعّلًا أثناء استخدام GreenTunnel؟

اضبطه على إيقاف أو تلقائي. اسم المضيف لمزود ما يجعل Android يرسل الاستعلامات مباشرة إلى ذلك المزود، فيُتجاوَز DNS المشفّر في GreenTunnel وقائمة الحظر الخاصة بك.

هل DoH أكثر خصوصية من DoT؟

كلاهما يشفّر الاستعلام بالجودة نفسها. الفرق في مدى سهولة اكتشافه وحجبه. يستخدم DoT منفذًا مخصصًا، بينما يندمج DoH مع HTTPS على المنفذ 443.

هل سيفتح DNS المشفّر كل المواقع المحجوبة؟

لا. يصلح الحجب القائم على DNS فقط. المواقع المحجوبة بفلترة الاسم تحتاج أكثر من ذلك، والمواقع المحجوبة بعنوان IP تحتاج مسارًا مختلفًا تمامًا.

المصادر

← كل المقالات