Privates DNS auf Android oder DoH-App?

Privates DNS unter Android verschlüsselt Abfragen per DNS over TLS, ohne App. Wann eine DoH-App besser ist, wie sich beide stören, was keines lösen kann.

Veröffentlicht 7 Min. LesezeitAuf Englisch lesen →

Wenn Sie nach „verschlüsseltes DNS auf Android“ gesucht haben, sind Ihnen wahrscheinlich zwei Antworten begegnet. Die eine sagt: Sie brauchen keine App, schalten Sie einfach Privates DNS ein. Die andere sagt: Installieren Sie eine App für DNS over HTTPS. Beides ist vernünftig. Sie lösen dasselbe Problem auf verschiedene Weise und scheitern an verschiedenen Stellen. Diese Anleitung erklärt, wie beide funktionieren, wo jedes Probleme hat und wie Sie wählen. Wir entwickeln GreenTunnel, das einen DoH-Client enthält, lesen Sie also mit diesem Wissen.

Was Privates DNS eigentlich ist

Google hat Privates DNS mit Android 9 eingeführt. Sie finden es meist unter Einstellungen → Netzwerk & Internet → Privates DNS, der genaue Pfad unterscheidet sich aber je nach Hersteller. Es gibt drei Möglichkeiten:

  • Aus: Abfragen gehen im Klartext an den DNS-Server, den das aktuelle Netz vorgibt.
  • Automatisch: die Standardeinstellung. Android versucht DNS over TLS mit dem DNS-Server des Netzes selbst und nutzt es, wenn dieser Server es unterstützt. Wenn nicht, bleiben die Abfragen im Klartext. Das nennt man oft opportunistischen Modus, und in den meisten Heim- und Mobilfunknetzen bedeutet er gar keine Verschlüsselung.
  • Hostname des privaten DNS-Anbieters: Sie geben den Hostnamen eines Anbieters ein, zum Beispiel dns.google für Google Public DNS. Android besteht dann auf diesem Server. Kann es ihn nicht erreichen, fällt es nicht still auf normales DNS zurück. Laut Googles Ankündigung markiert Android das Netz stattdessen als ohne Internetzugang.

DNS over TLS ist in RFC 7858 standardisiert und nutzt einen eigenen Port, 853. Dieser eigene Port ist Stärke und Schwäche zugleich: Er ist sauber und schlank, aber für ein Netz auch leicht zu erkennen und zu sperren.

Und DNS over HTTPS unter Android?

Hier gibt es eine Feinheit, die viele Anleitungen übersehen. Im Juli 2022 kündigte Google an, dass Geräte ab Android 11 über ein Google-Play-Systemupdate DNS over HTTP/3 statt DNS over TLS nutzen, für bekannte DNS-Server, die das unterstützen. Zum Start waren Google und Cloudflare dabei. Googles Beitrag betont, dass sich der DNS-Dienst, den Sie nutzen, nicht ändert, nur der Transportweg. Sie tragen weiterhin einen Hostnamen in dasselbe Feld für Privates DNS ein. Ein Feld für eine beliebige DoH-Adresse gibt es nicht, und für andere Anbieter bleibt Privates DNS bei DNS over TLS.

Was eine DoH-App anders macht

Eine DoH-App, oder eine VPN-App mit DoH-Client, übernimmt über den VPN-Platz von Android das DNS für das ganze Gerät. Jede Abfrage reist innerhalb von HTTPS zu einem DoH-Server wie https://cloudflare-dns.com/dns-query, definiert in RFC 8484.

  • Sie nutzt Port 443. Für das Netz sieht das ähnlich aus wie jede andere HTTPS-Verbindung. Ein Netz, das Port 853 sperrt, um DNS over TLS zu stoppen, lässt sie meist in Ruhe.
  • Sie wählen Server und Protokoll. Apps können DoH- und DoT-Anbieter nebeneinander anbieten und zwischen ihnen wechseln.
  • Sie kann den Resolver des Netzes ganz umgehen. Ein guter Client verbindet sich mit festen Bootstrap-IP-Adressen des DoH-Servers, sodass schon das Finden des DNS-Servers nicht vom DNS des Netzes abhängt.
  • Sie belegt den VPN-Platz. Android erlaubt ein VPN gleichzeitig. Eine DoH-App kann nicht neben einer anderen VPN-App laufen.

Im direkten Vergleich

Privates DNS (Hostname)DoH-App
Zusätzliche App nötigNeinJa
ProtokollDNS over TLS, oder DNS over HTTP/3 für einige bekannte Anbieter ab Android 11DNS over HTTPS (manche Apps bieten auch DoT)
Port853 für DoT443
Wenn der Server gesperrt istNetz zeigt kein Internet, bis Sie die Einstellung ändernHängt von der App ab. Manche wechseln zu einem anderen Anbieter
Belegt den VPN-PlatzNeinJa
Funktioniert mit einer anderen VPN-AppJa, mit den unten beschriebenen KonfliktenNein, nur ein VPN gleichzeitig
Hilft gegen Namensfilterung in HTTPSNeinNur wenn die App das auch kann

Wo Privates DNS Probleme hat

  • Netze, die Port 853 sperren. Manche Firmen, Schulen und öffentliche WLANs sperren ihn. Im Hostname-Modus wirkt das Netz dann kaputt. Siehe Website geht mit mobilen Daten, aber nicht im WLAN?, wie sich das zeigt.
  • Eigenheiten einzelner Netze. Die Einstellung gilt global, Netze sind aber verschieden. Ein Hostname, der mit mobilen Daten funktioniert, kann in einem bestimmten WLAN scheitern.
  • Anmeldeseiten im öffentlichen WLAN. Hotel- und Café-Netze mit Anmeldeseite können mit einem festen Hostnamen Probleme machen, bis Sie angemeldet sind. Kurz auf Automatisch zu wechseln, behebt das meist.
  • Automatisch ist oft unverschlüsselt. Die DNS-Server der meisten Provider bieten kein DNS over TLS, daher bleibt Automatisch still bei normalem DNS.

Wo eine DoH-App Probleme hat

  • Sie muss laufen. Beendet Android die App, um Akku zu sparen, endet auch der DNS-Schutz. Siehe ein VPN unter Android am Laufen halten.
  • Sie blockiert andere VPNs. Sie können sie auf demselben Smartphone nicht mit einem Firmen-VPN kombinieren.
  • Ihr Server kann per IP-Adresse gesperrt werden. Port 443 hilft nicht, wenn das Netz die Adresse des DoH-Servers sperrt. Clients, die auf einen anderen Anbieter ausweichen können, kommen damit besser zurecht.

Der Konflikt: Privates DNS plus VPN-App

Seit Android 10 gilt ein Hostname für Privates DNS auch, während eine VPN-App läuft. Googles eigene Anleitung für Public DNS weist darauf hin, dass unter Android 9 ein VPN Privates DNS überschrieben hat und dass das in Android 10 behoben wurde. In der Praxis heißt das: Tragen Sie einen Hostnamen ein und schalten dann eine VPN-App mit eigenem DNS ein, schickt Android die Abfragen stattdessen an Ihren Anbieter für Privates DNS. Das verschlüsselte DNS des VPN und seine Sperrliste sehen diese Namen nie. Ist dieser Anbieter im aktuellen Netz gesperrt, scheitert jede Website.

Stellen Sie bei GreenTunnel Privates DNS auf Aus oder Automatisch, solange Sie es nutzen. Das ist einer der ersten Punkte in Website immer noch gesperrt?

Wie GreenTunnel mit DNS umgeht

GreenTunnel ist ein lokales VPN mit eingebautem Client für verschlüsseltes DNS. Unter Settings → DNS wählen Sie einen von drei Anbietern oder Automatic:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Automatic probiert Cloudflare, dann Google, dann Quad9, und bleibt bei dem, der geantwortet hat. Jeder Anbieter wird über eingebaute Bootstrap-IPs erreicht, das DNS Ihres Providers wird also nie gefragt. DoQ wird nicht unterstützt. Die ausführliche Anleitung steht in DoH und DoT erklärt.

Der Unterschied zu einer reinen DNS-App liegt darin, was nach der Abfrage passiert. GreenTunnel formt außerdem das erste Paket von HTTPS-Verbindungen um, um einfache Namensfilterung zu umgehen, zeigt Verbindungen pro App in Requester und kann eine Website mit Inspect URL testen. Wir erfassen nie die Domains, die Sie abfragen.

Ehrliche Grenzen von verschlüsseltem DNS

Verschlüsseltes DNS, egal auf welchem Weg, behebt eine Art von Sperre: ein Netz, das DNS-Antworten fälscht oder verwirft. Es hindert ein Netz nicht daran, den Namen der Website im HTTPS-Handshake zu lesen, dafür braucht es Paket-Umformen oder ECH. Es kommt nicht an IP-Sperren vorbei. Es verbirgt Ihre IP-Adresse nicht, und Ihr Provider sieht weiterhin, mit welchen Adressen Sie sich verbinden. Der gewählte DNS-Anbieter sieht Ihre Abfragen statt Ihres Providers, wählen Sie also einen, dessen Richtlinien Sie vertrauen. GreenTunnel ist ebenfalls kein Anonymisierungstool.

Was sollten Sie nutzen?

  • Sie wollen nur verschlüsselte Abfragen in Netzen, die sich normal verhalten? Privates DNS mit dem Hostnamen eines Anbieters ist einfach und braucht keine App.
  • Ihr Netz sperrt Port 853, fälscht DNS oder filtert Website-Namen? Eine DoH-App, am besten eine, die auch Namensfilterung behandelt, passt besser. Stellen Sie Privates DNS auf Aus oder Automatisch.
  • Sie nutzen bereits ein Firmen-VPN? Bleiben Sie bei Privatem DNS, denn es kann nur eine VPN-App laufen.

GreenTunnel ist auf Android und iPhone kostenlos, mit optionalem Premium. Wie es funktioniert, sehen Sie auf der Startseite.

Häufige Fragen

Nutzt Privates DNS unter Android DoH oder DoT?

DNS over TLS auf Port 853. Seit einem Google-Play-Systemupdate von 2022 nutzen Android 11 und neuer für einige bekannte Anbieter, die es unterstützen, stattdessen DNS over HTTP/3, zuerst für Google und Cloudflare. Eine eigene DoH-Adresse können Sie nicht eingeben.

Soll ich Privates DNS anlassen, während ich GreenTunnel nutze?

Stellen Sie es auf Aus oder Automatisch. Ein Anbieter-Hostname lässt Android Abfragen direkt an diesen Anbieter schicken, sodass das verschlüsselte DNS von GreenTunnel und Ihre Sperrliste übergangen werden.

Ist DoH privater als DoT?

Beide verschlüsseln die Abfrage gleich gut. Der Unterschied liegt darin, wie leicht sie zu erkennen und zu sperren sind. DoT nutzt einen eigenen Port, DoH geht im HTTPS-Verkehr auf Port 443 unter.

Entsperrt verschlüsseltes DNS jede Website?

Nein. Es behebt nur DNS-basierte Sperren. Per Namensfilter gesperrte Websites brauchen mehr, und per IP-Adresse gesperrte Websites brauchen einen ganz anderen Weg.

Quellen

← Alle Beiträge