DNS privé Android ou appli DoH ?

Le DNS privé d’Android chiffre les requêtes en DNS over TLS, sans appli. Quand une appli DoH marche mieux, leurs conflits, et ce qu’aucun ne règle.

Publié le 8 min de lectureLire en anglais →

Si vous avez cherché « DNS chiffré sur Android », vous avez sans doute trouvé deux réponses. L’une dit : pas besoin d’appli, activez simplement le DNS privé. L’autre dit : installez une appli qui fait du DNS over HTTPS. Les deux se défendent. Elles résolvent le même problème de façons différentes et échouent à des endroits différents. Ce guide explique comment chacune fonctionne, où chacune peine, et comment choisir. Nous développons GreenTunnel, qui inclut un client DoH, gardez-le en tête en lisant.

Ce qu’est vraiment le DNS privé

Google a ajouté le DNS privé dans Android 9. Il se trouve en général dans Paramètres → Réseau et Internet → DNS privé, mais le chemin exact varie selon les fabricants de téléphones. Il propose trois choix :

  • Désactivé : les requêtes partent en clair vers le serveur DNS fourni par le réseau du moment.
  • Automatique : le réglage par défaut. Android essaie DNS over TLS avec le serveur DNS du réseau et l’utilise si ce serveur le prend en charge. Sinon, les requêtes restent en clair. On parle souvent de mode opportuniste, et sur la plupart des réseaux domestiques et mobiles, cela signifie aucun chiffrement.
  • Nom d’hôte du fournisseur de DNS privé : vous saisissez le nom d’hôte d’un fournisseur, par exemple dns.google pour Google Public DNS. Android exige alors ce serveur. S’il ne peut pas le joindre, il ne revient pas discrètement au DNS en clair. L’annonce de Google indique qu’Android signale plutôt le réseau comme n’ayant pas d’accès à internet.

DNS over TLS est normalisé dans la RFC 7858 et utilise son propre port, le 853. Ce port dédié est à la fois sa force et sa faiblesse : c’est propre et léger, mais un réseau peut aussi facilement le reconnaître et le bloquer.

Et le DNS over HTTPS dans Android ?

Il y a une nuance que beaucoup de guides oublient. En juillet 2022, Google a annoncé que, via une mise à jour du système Google Play, les appareils sous Android 11 et versions ultérieures utilisent DNS over HTTP/3 au lieu de DNS over TLS pour les serveurs DNS connus qui le prennent en charge. Google et Cloudflare étaient les fournisseurs couverts au lancement. L’article de Google souligne que le service DNS utilisé ne change pas, seul le transport change. Vous saisissez toujours un nom d’hôte dans la même case DNS privé. Il n’y a pas de champ pour une adresse DoH quelconque, et pour les autres fournisseurs, le DNS privé reste en DNS over TLS.

Ce qu’une appli DoH fait autrement

Une appli DoH, ou une appli VPN avec un client DoH, prend en charge le DNS de tout l’appareil via l’emplacement VPN d’Android. Chaque requête voyage dans HTTPS vers un serveur DoH comme https://cloudflare-dns.com/dns-query, défini dans la RFC 8484.

  • Elle utilise le port 443. Pour le réseau, cela ressemble beaucoup à n’importe quelle autre connexion HTTPS. Un réseau qui bloque le port 853 pour empêcher DNS over TLS la laisse généralement passer.
  • Vous choisissez le serveur et le protocole. Les applis peuvent proposer des fournisseurs DoH et DoT côte à côte et passer de l’un à l’autre.
  • Elle peut se passer entièrement du résolveur du réseau. Un bon client se connecte à des adresses IP d’amorçage fixes pour le serveur DoH, si bien que même trouver le serveur DNS ne dépend pas du DNS du réseau.
  • Elle occupe l’emplacement VPN. Android n’autorise qu’un VPN à la fois. Une appli DoH ne peut pas tourner en même temps qu’une autre appli VPN.

Côte à côte

DNS privé (nom d’hôte)Appli DoH
Appli supplémentaire nécessaireNonOui
ProtocoleDNS over TLS, ou DNS over HTTP/3 pour certains fournisseurs connus sur Android 11+DNS over HTTPS (certaines applis proposent aussi DoT)
Port853 pour DoT443
Si le serveur est bloquéLe réseau s’affiche sans internet jusqu’à ce que vous changiez le réglageSelon l’appli. Certaines passent à un autre fournisseur
Occupe l’emplacement VPNNonOui
Fonctionne avec une autre appli VPNOui, avec les conflits décrits plus basNon, un seul VPN à la fois
Aide contre le filtrage par nom dans HTTPSNonSeulement si l’appli le fait aussi

Là où le DNS privé peine

  • Les réseaux qui bloquent le port 853. Certaines entreprises, écoles et Wi-Fi publics le bloquent. En mode nom d’hôte, le réseau semble alors en panne. Voir Un site s’ouvre en données mobiles mais pas en Wi-Fi ? pour la façon dont cela se manifeste.
  • Les particularités de chaque réseau. Le réglage est global, mais les réseaux ne le sont pas. Un nom d’hôte qui marche en données mobiles peut échouer sur un Wi-Fi précis.
  • Les pages de connexion des Wi-Fi publics. Les réseaux d’hôtels et de cafés avec une page de connexion peuvent mal se comporter avec un nom d’hôte fixe tant que vous n’êtes pas connecté. Passer un instant sur Automatique règle en général le problème.
  • Automatique est souvent non chiffré. La plupart des serveurs DNS des FAI ne proposent pas DNS over TLS, et Automatique reste donc discrètement en DNS en clair.

Là où une appli DoH peine

  • Elle doit rester active. Si Android arrête l’appli pour économiser la batterie, la protection DNS s’arrête aussi. Voir garder un VPN actif sur Android.
  • Elle bloque les autres VPN. Vous ne pouvez pas la combiner avec un VPN professionnel sur le même téléphone.
  • Son serveur peut être bloqué par adresse IP. Le port 443 n’aide pas si le réseau bloque l’adresse du serveur DoH. Les clients capables de basculer vers un autre fournisseur s’en sortent mieux.

Le conflit : DNS privé plus une appli VPN

Depuis Android 10, un nom d’hôte de DNS privé s’applique aussi pendant qu’une appli VPN tourne. Les instructions de Google Public DNS précisent que sous Android 9, un VPN prenait le pas sur le DNS privé, et que cela a été corrigé dans Android 10. Concrètement, si vous définissez un nom d’hôte puis activez une appli VPN qui a son propre DNS, Android envoie quand même les requêtes à votre fournisseur de DNS privé. Le DNS chiffré du VPN et sa liste de blocage ne voient jamais ces noms. Si ce fournisseur est bloqué sur le réseau du moment, tous les sites échouent.

Avec GreenTunnel, mettez le DNS privé sur Désactivé ou Automatique pendant que vous l’utilisez. C’est l’une des premières vérifications de Site toujours bloqué ?

Comment GreenTunnel gère le DNS

GreenTunnel est un VPN local avec un client DNS chiffré intégré. Dans Settings → DNS, vous choisissez l’un des trois fournisseurs, ou Automatic :

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Automatic essaie Cloudflare, puis Google, puis Quad9, et garde celui qui a répondu. Chaque fournisseur est joint via des IP d’amorçage intégrées, si bien que le DNS de votre FAI n’est jamais interrogé. DoQ n’est pas pris en charge. Le guide complet se trouve dans DoH et DoT expliqués.

La différence avec une appli uniquement DNS, c’est ce qui se passe après la requête. GreenTunnel remodèle aussi le premier paquet des connexions HTTPS pour passer le filtrage par nom simple, montre les connexions par appli dans Requester, et peut tester un site avec Inspect URL. Nous ne collectons jamais les domaines que vous consultez.

Les limites honnêtes du DNS chiffré

Le DNS chiffré, quelle que soit la façon de l’obtenir, règle un seul type de blocage : un réseau qui falsifie ou supprime les réponses DNS. Il n’empêche pas un réseau de lire le nom du site dans la négociation HTTPS, ce qui exige un remodelage des paquets ou ECH. Il ne passe pas le blocage par IP. Il ne masque pas votre adresse IP, et votre FAI peut toujours voir à quelles adresses vous vous connectez. Le fournisseur DNS choisi voit vos requêtes à la place de votre FAI, choisissez donc un fournisseur dont la politique vous inspire confiance. GreenTunnel n’est pas non plus un outil d’anonymat.

Lequel choisir ?

  • Vous voulez juste des requêtes chiffrées sur des réseaux qui se comportent bien ? Le DNS privé avec le nom d’hôte d’un fournisseur est simple et ne demande aucune appli.
  • Votre réseau bloque le port 853, falsifie le DNS ou filtre les noms de sites ? Une appli DoH, idéalement une qui gère aussi le filtrage par nom, convient mieux. Mettez le DNS privé sur Désactivé ou Automatique.
  • Vous utilisez déjà un VPN professionnel ? Restez sur le DNS privé, car une seule appli VPN peut tourner.

GreenTunnel est gratuit sur Android et iPhone, avec Premium en option. Découvrez son fonctionnement sur la page d’accueil.

Questions fréquentes

Le DNS privé d’Android utilise-t-il DoH ou DoT ?

DNS over TLS sur le port 853. Depuis une mise à jour du système Google Play en 2022, Android 11 et versions ultérieures utilisent plutôt DNS over HTTP/3 pour certains fournisseurs connus qui le prennent en charge, à commencer par Google et Cloudflare. Vous ne pouvez pas saisir d’adresse DoH personnalisée.

Dois-je garder le DNS privé actif en utilisant GreenTunnel ?

Mettez-le sur Désactivé ou Automatique. Un nom d’hôte de fournisseur fait envoyer les requêtes directement à ce fournisseur par Android, et le DNS chiffré de GreenTunnel ainsi que votre liste de blocage sont ignorés.

DoH est-il plus confidentiel que DoT ?

Les deux chiffrent la requête aussi bien l’un que l’autre. La différence tient à la facilité de les repérer et de les bloquer. DoT utilise un port dédié, alors que DoH se fond dans HTTPS sur le port 443.

Le DNS chiffré va-t-il débloquer tous les sites ?

Non. Il ne règle que le blocage par DNS. Les sites bloqués par filtrage du nom demandent davantage, et ceux bloqués par adresse IP demandent un tout autre itinéraire.

Sources

← Tous les articles