Private DNS sa Android vs DoH app

Private DNS ng Android: DNS over TLS nang walang app. Kailan mas mahusay ang DoH app, paano sila nagbabanggaan, at ano ang hindi nila naaayos.

Na-publish 8 minutong basaBasahin sa Ingles →

Kung hinanap mo ang "encrypted DNS sa Android", malamang dalawang sagot ang nakita mo. Sabi ng isa: hindi mo kailangan ng app, i-on lang ang Private DNS. Sabi ng isa pa: mag-install ng app na gumagawa ng DNS over HTTPS. Parehong makatwiran. Iisang problema ang nilulutas nila sa magkaibang paraan, at sa magkaibang lugar sila pumapalya. Ipinapaliwanag ng gabay na ito kung paano gumagana ang bawat isa, saan nahihirapan ang bawat isa, at paano pumili. Kami ang gumagawa ng GreenTunnel, na may kasamang DoH client, kaya basahin ito nang may ganoong kaalaman.

Ano talaga ang Private DNS

Idinagdag ng Google ang Private DNS sa Android 9. Karaniwan itong nasa Settings → Network & internet → Private DNS, pero iba-iba ang eksaktong daan depende sa gumawa ng phone. May tatlo itong pagpipilian:

  • Off: ipinapadala ang mga lookup bilang plain text sa kung anumang DNS server ang ibinibigay ng kasalukuyang network.
  • Automatic: ang default. Sinusubukan ng Android ang DNS over TLS sa sariling DNS server ng network at ginagamit ito kung sinusuportahan iyon ng server. Kung hindi, nananatiling plain text ang mga lookup. Madalas itong tawaging opportunistic mode, at sa karamihan ng home at mobile network, ibig sabihin nito ay walang encryption.
  • Private DNS provider hostname: ita-type mo ang hostname ng isang provider, halimbawa dns.google para sa Google Public DNS. Pagkatapos, ipipilit ng Android ang server na iyon. Kung hindi nito ito maabot, hindi ito tahimik na babalik sa plain DNS. Sinasabi ng anunsyo ng Google na sa halip ay mamarkahan ng Android ang network na walang internet access.

Naka-standard ang DNS over TLS sa RFC 7858 at gumagamit ito ng sarili nitong port, ang 853. Ang nakalaang port na iyon ay parehong lakas at kahinaan nito: malinis at magaan ito, pero madali rin itong makilala at i-block ng network.

Paano naman ang DNS over HTTPS sa Android?

May detalyeng hindi napapansin ng maraming gabay. Noong Hulyo 2022, inanunsyo ng Google na sa pamamagitan ng isang Google Play system update, gumagamit ang mga device na Android 11 at mas bago ng DNS over HTTP/3 sa halip na DNS over TLS para sa mga kilalang DNS server na sumusuporta rito. Google at Cloudflare ang mga provider na saklaw noong inilunsad ito. Idinidiin ng post ng Google na hindi nagbabago ang DNS service na ginagamit mo, ang transport lang. Ita-type mo pa rin ang hostname sa parehong Private DNS box. Walang field para sa anumang DoH address, at para sa ibang provider, nananatiling DNS over TLS ang Private DNS.

Ano ang naiiba sa ginagawa ng DoH app

Ang DoH app, o VPN app na may DoH client, ay umaako sa DNS ng buong device sa pamamagitan ng VPN slot ng Android. Bumibiyahe ang bawat lookup sa loob ng HTTPS papunta sa isang DoH server tulad ng https://cloudflare-dns.com/dns-query, na tinukoy sa RFC 8484.

  • Gumagamit ito ng port 443. Para sa network, mukha itong tulad ng anumang ibang HTTPS connection. Kadalasang hinahayaan ito ng network na nagba-block ng port 853 para pigilan ang DNS over TLS.
  • Ikaw ang pipili ng server at protocol. Puwedeng mag-alok ang mga app ng DoH at DoT provider nang magkatabi at magpalipat-lipat sa kanila.
  • Kaya nitong tuluyang iwasan ang resolver ng network. Kumokonekta ang mahusay na client sa mga nakapirming bootstrap IP address para sa DoH server, kaya hindi nakadepende sa DNS ng network kahit ang paghahanap sa DNS server.
  • Kinukuha nito ang VPN slot. Isang VPN lang ang pinapayagan ng Android sa isang pagkakataon. Hindi puwedeng tumakbo ang DoH app kasabay ng ibang VPN app.

Magkatabing paghahambing

Private DNS (hostname)DoH app
Kailangan ng dagdag na appHindiOo
ProtocolDNS over TLS, o DNS over HTTP/3 para sa ilang kilalang provider sa Android 11+DNS over HTTPS (may mga app na nag-aalok din ng DoT)
Port853 para sa DoT443
Kung naka-block ang serverWalang internet ang ipinapakita ng network hanggang baguhin mo ang settingDepende sa app. May mga lumilipat sa ibang provider
Ginagamit ang VPN slotHindiOo
Gumagana kasabay ng ibang VPN appOo, kasama ang mga conflict na inilarawan sa ibabaHindi, isang VPN lang sa isang pagkakataon
Tumutulong laban sa pag-filter ng pangalan sa HTTPSHindiKung ginagawa rin iyon ng app

Saan nahihirapan ang Private DNS

  • Mga network na nagba-block ng port 853. Bina-block ito ng ilang opisina, paaralan at pampublikong Wi-Fi. Sa hostname mode, magmumukhang sira ang network. Tingnan ang Nagbubukas ang site sa mobile data pero hindi sa Wi-Fi? kung paano ito lumalabas.
  • Kakaibang ugali ng bawat network. Global ang setting, pero hindi ang mga network. Puwedeng pumalya sa isang partikular na Wi-Fi ang hostname na gumagana sa mobile data.
  • Mga login page sa pampublikong Wi-Fi. Puwedeng magkaproblema ang mga network ng hotel at café na may sign-in page kapag may nakapirming hostname hanggang matapos kang mag-sign in. Kadalasang naaayos ito kapag pansamantalang inilipat sa Automatic.
  • Kadalasang hindi encrypted ang Automatic. Hindi nag-aalok ng DNS over TLS ang karamihan ng sariling DNS server ng mga ISP, kaya tahimik na nananatili sa plain DNS ang Automatic.

Saan nahihirapan ang DoH app

  • Kailangan itong laging tumatakbo. Kung ihinto ng Android ang app para makatipid ng baterya, hihinto rin ang proteksyon ng DNS. Tingnan ang pagpapanatiling tumatakbo ng VPN sa Android.
  • Hinaharangan nito ang ibang VPN. Hindi mo ito maisasabay sa work VPN sa iisang phone.
  • Puwedeng i-block ang server nito ayon sa IP address. Hindi makakatulong ang port 443 kung bina-block ng network ang address ng DoH server. Mas mahusay itong nahahawakan ng mga client na kayang lumipat sa ibang provider.

Ang conflict: Private DNS kasama ang isang VPN app

Mula Android 10, umiiral din ang Private DNS hostname habang tumatakbo ang isang VPN app. Binabanggit ng sariling instruksyon ng Google Public DNS na sa Android 9, nilalampasan ng VPN ang Private DNS, at naayos ito sa Android 10. Sa praktika, kung mag-set ka ng hostname at saka mag-on ng VPN app na may sariling DNS, sa Private DNS provider mo ipapadala ng Android ang mga lookup. Hindi kailanman nakikita ng encrypted DNS ng VPN at ng block list nito ang mga pangalang iyon. Kung naka-block ang provider na iyon sa kasalukuyang network, papalya ang bawat site.

Sa GreenTunnel, i-set ang Private DNS sa Off o Automatic habang ginagamit mo ito. Isa ito sa mga unang sinusuri sa Naka-block pa rin ang site?

Paano hinahawakan ng GreenTunnel ang DNS

Ang GreenTunnel ay isang local VPN na may built-in na encrypted DNS client. Sa Settings → DNS, pipili ka ng isa sa tatlong provider, o Automatic:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Sinusubukan ng Automatic ang Cloudflare, pagkatapos ang Google, pagkatapos ang Quad9, at patuloy na ginagamit kung alin ang sumagot. Naaabot ang bawat provider sa pamamagitan ng mga built-in na bootstrap IP, kaya hindi kailanman tinatanong ang DNS ng ISP mo. Hindi suportado ang DoQ. Nasa paliwanag sa DoH at DoT ang buong gabay.

Ang pagkakaiba sa app na DNS lang ay kung ano ang nangyayari pagkatapos ng lookup. Binabago rin ng GreenTunnel ang hugis ng unang packet ng mga HTTPS connection para malampasan ang simpleng pag-filter ng pangalan, ipinapakita ang mga koneksyon kada app sa Requester, at kayang subukan ang isang site gamit ang Inspect URL. Hindi namin kailanman kinokolekta ang mga domain na hinahanap mo.

Tapat na mga limitasyon ng encrypted DNS

Anumang paraan mo ito makuha, iisang uri lang ng block ang inaayos ng encrypted DNS: ang network na nagpepeke o nagda-drop ng mga sagot ng DNS. Hindi nito napipigilan ang network na basahin ang pangalan ng site sa HTTPS handshake, na nangangailangan ng pagbago ng packet o ECH. Hindi nito nalalampasan ang IP blocking. Hindi nito itinatago ang IP address mo, at nakikita pa rin ng ISP mo kung aling mga address ang kinokonektahan mo. Ang DNS provider na pipiliin mo ang makakakita ng mga lookup mo sa halip na ang ISP mo, kaya pumili ng provider na pinagkakatiwalaan mo ang patakaran. Hindi rin anonymity tool ang GreenTunnel.

Alin ang dapat mong gamitin?

  • Gusto mo lang na encrypted ang mga lookup sa mga network na maayos? Simple ang Private DNS na may provider hostname at hindi ito nangangailangan ng app.
  • Bina-block ng network mo ang port 853, nagpepeke ito ng DNS, o nagfi-filter ng mga pangalan ng site? Mas bagay ang DoH app, mas mabuti kung kaya rin nitong harapin ang pag-filter ng pangalan. Ilipat ang Private DNS sa Off o Automatic.
  • Gumagamit ka na ng work VPN? Manatili sa Private DNS, dahil isang VPN app lang ang puwedeng tumakbo.

Libre ang GreenTunnel sa Android at iPhone, na may opsyonal na Premium. Tingnan kung paano ito gumagana sa home page.

Mga madalas itanong

DoH ba o DoT ang ginagamit ng Private DNS ng Android?

DNS over TLS sa port 853. Mula sa isang Google Play system update noong 2022, DNS over HTTP/3 na ang ginagamit ng Android 11 at mas bago para sa ilang kilalang provider na sumusuporta rito, simula sa Google at Cloudflare. Hindi ka puwedeng maglagay ng custom na DoH address.

Dapat ko bang panatilihing naka-on ang Private DNS habang ginagamit ang GreenTunnel?

I-set ito sa Off o Automatic. Kapag may provider hostname, direktang ipinapadala ng Android ang mga lookup sa provider na iyon, kaya nalalaktawan ang encrypted DNS ng GreenTunnel at ang block list mo.

Mas pribado ba ang DoH kaysa sa DoT?

Parehong mahusay nilang ine-encrypt ang lookup. Ang pagkakaiba ay kung gaano kadali itong makita at i-block. Gumagamit ang DoT ng nakalaang port, habang humahalo ang DoH sa HTTPS sa port 443.

Mabubuksan ba ng encrypted DNS ang bawat site?

Hindi. Pag-block na batay sa DNS lang ang inaayos nito. Mas marami ang kailangan ng mga site na naka-block dahil sa pag-filter ng pangalan, at ganap na ibang daan ang kailangan ng mga site na naka-block ayon sa IP address.

Mga pinagmulan

← Lahat ng post