Android Private DNS बनाम DoH ऐप

Android का Private DNS बिना ऐप के DNS over TLS से लुकअप एन्क्रिप्ट करता है। कब DoH ऐप बेहतर है, दोनों कैसे टकराते हैं, और कोई क्या ठीक नहीं कर सकता।

प्रकाशित 9 मिनट में पढ़ेंअंग्रेज़ी में पढ़ें →

अगर आपने "Android पर एन्क्रिप्टेड DNS" खोजा है, तो शायद आपको दो जवाब मिले होंगे। एक कहता है: ऐप की ज़रूरत नहीं, बस Private DNS चालू करें। दूसरा कहता है: DNS over HTTPS वाला ऐप इंस्टॉल करें। दोनों ठीक हैं। वे एक ही समस्या को अलग-अलग तरीके से हल करते हैं और अलग-अलग जगह फ़ेल होते हैं। यह गाइड बताती है कि हर एक कैसे काम करता है, कहाँ अटकता है, और कैसे चुनें। हम GreenTunnel बनाते हैं, जिसमें एक DoH क्लाइंट है, इसलिए यह ध्यान में रखकर पढ़ें।

Private DNS असल में क्या है

Google ने Private DNS को Android 9 में जोड़ा। यह आमतौर पर Settings → Network & internet → Private DNS में मिलता है, हालाँकि सही रास्ता फ़ोन बनाने वाली कंपनी के हिसाब से बदलता है। इसमें तीन विकल्प हैं:

  • Off: लुकअप सादे टेक्स्ट में उसी DNS सर्वर को जाते हैं जो मौजूदा नेटवर्क देता है।
  • Automatic: डिफ़ॉल्ट। Android नेटवर्क के अपने DNS सर्वर के साथ DNS over TLS आज़माता है और अगर सर्वर इसे सपोर्ट करता है तो इस्तेमाल करता है। नहीं तो लुकअप सादे टेक्स्ट में ही रहते हैं। इसे अक्सर opportunistic मोड कहा जाता है, और ज़्यादातर घरेलू और मोबाइल नेटवर्क पर इसका मतलब है कोई एन्क्रिप्शन नहीं।
  • Private DNS provider hostname: आप किसी प्रोवाइडर का होस्टनेम टाइप करते हैं, उदाहरण के लिए Google Public DNS के लिए dns.google। तब Android उसी सर्वर पर अड़ा रहता है। अगर वह उस तक नहीं पहुँच पाता, तो चुपचाप सादे DNS पर वापस नहीं जाता। Google की घोषणा कहती है कि Android इसकी जगह नेटवर्क को इंटरनेट न होने वाला मान लेता है।

DNS over TLS, RFC 7858 में मानकीकृत है और अपना अलग पोर्ट 853 इस्तेमाल करता है। यह अलग पोर्ट इसकी ताक़त भी है और कमज़ोरी भी: यह साफ़-सुथरा और हल्का है, लेकिन किसी नेटवर्क के लिए इसे पहचानना और ब्लॉक करना भी आसान है।

Android में DNS over HTTPS का क्या?

एक बारीकी है जो कई गाइड छोड़ देती हैं। जुलाई 2022 में Google ने घोषणा की कि Google Play सिस्टम अपडेट के ज़रिए, Android 11 और बाद वाले डिवाइस उन जाने-माने DNS सर्वर के लिए DNS over TLS की जगह DNS over HTTP/3 इस्तेमाल करते हैं जो इसे सपोर्ट करते हैं। लॉन्च के समय Google और Cloudflare शामिल थे। Google की पोस्ट ज़ोर देती है कि आपकी DNS सेवा नहीं बदलती, सिर्फ़ ट्रांसपोर्ट बदलता है। आप अब भी उसी Private DNS बॉक्स में होस्टनेम टाइप करते हैं। किसी भी DoH एड्रेस के लिए कोई फ़ील्ड नहीं है, और दूसरे प्रोवाइडर के लिए Private DNS, DNS over TLS ही रहता है।

DoH ऐप अलग क्या करता है

एक DoH ऐप, या DoH क्लाइंट वाला VPN ऐप, Android के VPN स्लॉट के ज़रिए पूरे डिवाइस का DNS अपने हाथ में ले लेता है। हर लुकअप HTTPS के अंदर किसी DoH सर्वर तक जाता है, जैसे https://cloudflare-dns.com/dns-query, जो RFC 8484 में परिभाषित है।

  • यह पोर्ट 443 इस्तेमाल करता है। नेटवर्क को यह किसी भी दूसरे HTTPS कनेक्शन जैसा ही दिखता है। जो नेटवर्क DNS over TLS रोकने के लिए पोर्ट 853 ब्लॉक करता है, वह आमतौर पर इसे नहीं छेड़ता।
  • सर्वर और प्रोटोकॉल आप चुनते हैं। ऐप DoH और DoT प्रोवाइडर एक साथ दे सकते हैं और उनके बीच बदल सकते हैं।
  • यह नेटवर्क के रिज़ॉल्वर से पूरी तरह बच सकता है। एक अच्छा क्लाइंट DoH सर्वर के तय bootstrap IP एड्रेस से कनेक्ट होता है, इसलिए DNS सर्वर ढूँढना भी नेटवर्क के DNS पर निर्भर नहीं करता।
  • इसकी कीमत VPN स्लॉट है। Android एक समय में एक ही VPN चलने देता है। DoH ऐप किसी दूसरे VPN ऐप के साथ नहीं चल सकता।

आमने-सामने

Private DNS (होस्टनेम)DoH ऐप
अतिरिक्त ऐप चाहिएनहींहाँ
प्रोटोकॉलDNS over TLS, या Android 11+ पर कुछ जाने-माने प्रोवाइडर के लिए DNS over HTTP/3DNS over HTTPS (कुछ ऐप DoT भी देते हैं)
पोर्टDoT के लिए 853443
अगर सर्वर ब्लॉक होसेटिंग बदलने तक नेटवर्क "इंटरनेट नहीं" दिखाता हैऐप पर निर्भर। कुछ दूसरे प्रोवाइडर पर चले जाते हैं
VPN स्लॉट इस्तेमाल करता हैनहींहाँ
दूसरे VPN ऐप के साथ चलता हैहाँ, नीचे बताए टकराव के साथनहीं, एक समय में सिर्फ़ एक VPN
HTTPS में नाम फ़िल्टरिंग में मदद करता हैनहींसिर्फ़ तब जब ऐप यह भी करता हो

Private DNS कहाँ अटकता है

  • पोर्ट 853 ब्लॉक करने वाले नेटवर्क। कुछ दफ़्तर, स्कूल और पब्लिक Wi-Fi इसे ब्लॉक करते हैं। होस्टनेम मोड में तब नेटवर्क टूटा हुआ लगता है। यह कैसे दिखता है, जानने के लिए साइट मोबाइल डेटा पर खुलती है, Wi-Fi पर नहीं? देखें।
  • हर नेटवर्क की अपनी अजीब बातें। सेटिंग पूरे फ़ोन के लिए है, लेकिन नेटवर्क एक जैसे नहीं होते। जो होस्टनेम मोबाइल डेटा पर चलता है, वह किसी खास Wi-Fi पर फ़ेल हो सकता है।
  • पब्लिक Wi-Fi के लॉगिन पेज। साइन-इन पेज वाले होटल और कैफ़े के नेटवर्क, तय होस्टनेम के साथ तब तक ठीक से नहीं चलते जब तक आप साइन इन पूरा न कर लें। थोड़ी देर के लिए Automatic पर करने से आमतौर पर यह ठीक हो जाता है।
  • Automatic अक्सर बिना एन्क्रिप्शन के होता है। ज़्यादातर ISP के अपने DNS सर्वर DNS over TLS नहीं देते, इसलिए Automatic चुपचाप सादे DNS पर ही रहता है।

DoH ऐप कहाँ अटकता है

  • इसे चलते रहना होता है। अगर Android बैटरी बचाने के लिए ऐप रोक देता है, तो DNS सुरक्षा भी रुक जाती है। देखें Android पर VPN को चालू कैसे रखें।
  • यह दूसरे VPN को रोकता है। आप इसे उसी फ़ोन पर किसी ऑफ़िस VPN के साथ नहीं चला सकते।
  • इसका सर्वर IP एड्रेस से ब्लॉक हो सकता है। अगर नेटवर्क DoH सर्वर का एड्रेस ब्लॉक करता है तो पोर्ट 443 से मदद नहीं मिलती। जो क्लाइंट दूसरे प्रोवाइडर पर जा सकते हैं, वे इसे बेहतर संभालते हैं।

टकराव: Private DNS और VPN ऐप साथ में

Android 10 से, Private DNS होस्टनेम तब भी लागू रहता है जब कोई VPN ऐप चल रहा हो। Google के अपने Public DNS निर्देश बताते हैं कि Android 9 पर VPN, Private DNS को ओवरराइड करता था, और यह Android 10 में ठीक किया गया। असल में इसका मतलब है कि अगर आप होस्टनेम सेट करते हैं और फिर अपने DNS वाला कोई VPN ऐप चालू करते हैं, तो Android लुकअप उसकी जगह आपके Private DNS प्रोवाइडर को भेजता है। VPN का एन्क्रिप्टेड DNS और उसकी ब्लॉक सूची उन नामों को कभी देखते ही नहीं। अगर मौजूदा नेटवर्क पर वह प्रोवाइडर ब्लॉक है, तो हर साइट फ़ेल होती है।

GreenTunnel इस्तेमाल करते समय Private DNS को Off या Automatic पर रखें। यह साइट अब भी ब्लॉक है? की पहली जाँचों में से एक है।

GreenTunnel DNS को कैसे संभालता है

GreenTunnel एक लोकल VPN है जिसमें बिल्ट-इन एन्क्रिप्टेड DNS क्लाइंट है। सेटिंग्स → DNS में आप तीन में से एक प्रोवाइडर चुनते हैं, या स्वचालित:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

स्वचालित पहले Cloudflare, फिर Google, फिर Quad9 आज़माता है, और जिसने जवाब दिया उसी का इस्तेमाल करता रहता है। हर प्रोवाइडर तक बिल्ट-इन bootstrap IP से पहुँचा जाता है, इसलिए आपके ISP के DNS से कभी पूछा ही नहीं जाता। DoQ सपोर्ट नहीं है। पूरी जानकारी DoH और DoT की व्याख्या में है।

सिर्फ़ DNS वाले ऐप से फ़र्क इसमें है कि लुकअप के बाद क्या होता है। GreenTunnel साधारण नाम फ़िल्टरिंग पार करने के लिए HTTPS कनेक्शन के पहले पैकेट का रूप भी बदलता है, Requester में हर ऐप के कनेक्शन दिखाता है, और URL जाँचें से किसी साइट को टेस्ट कर सकता है। आप जो डोमेन देखते हैं, उन्हें हम कभी इकट्ठा नहीं करते।

एन्क्रिप्टेड DNS की ईमानदार सीमाएँ

एन्क्रिप्टेड DNS, चाहे आप इसे किसी भी तरह पाएँ, एक तरह का ब्लॉक ठीक करता है: ऐसा नेटवर्क जो DNS जवाब नकली बनाता है या गिरा देता है। यह किसी नेटवर्क को HTTPS हैंडशेक में साइट का नाम पढ़ने से नहीं रोकता, जिसके लिए पैकेट का रूप बदलना या ECH चाहिए। यह IP ब्लॉकिंग पार नहीं करता। यह आपका IP एड्रेस नहीं छिपाता, और आपका ISP अब भी देख सकता है कि आप किन एड्रेस से कनेक्ट होते हैं। आपके ISP की जगह अब आपका चुना DNS प्रोवाइडर आपके लुकअप देखता है, इसलिए ऐसा प्रोवाइडर चुनें जिसकी नीति पर आपको भरोसा हो। GreenTunnel भी गुमनामी (anonymity) का टूल नहीं है।

आपको कौन-सा इस्तेमाल करना चाहिए?

  • बस ठीक-ठाक चलने वाले नेटवर्क पर लुकअप एन्क्रिप्टेड चाहिए? प्रोवाइडर होस्टनेम के साथ Private DNS आसान है और इसके लिए ऐप की ज़रूरत नहीं।
  • आपका नेटवर्क पोर्ट 853 ब्लॉक करता है, नकली DNS देता है, या साइट के नाम फ़िल्टर करता है? एक DoH ऐप, बेहतर हो कि ऐसा जो नाम फ़िल्टरिंग भी संभाले, ज़्यादा ठीक रहेगा। Private DNS को Off या Automatic पर करें।
  • आप पहले से ऑफ़िस VPN इस्तेमाल करते हैं? Private DNS पर ही रहें, क्योंकि सिर्फ़ एक VPN ऐप चल सकता है।

GreenTunnel, Android और iPhone पर मुफ़्त है, वैकल्पिक Premium के साथ। होम पेज पर देखें कि यह कैसे काम करता है।

अक्सर पूछे जाने वाले सवाल

Android का Private DNS, DoH इस्तेमाल करता है या DoT?

पोर्ट 853 पर DNS over TLS। 2022 के एक Google Play सिस्टम अपडेट के बाद से, Android 11 और बाद के वर्ज़न कुछ जाने-माने प्रोवाइडर के लिए इसकी जगह DNS over HTTP/3 इस्तेमाल करते हैं जो इसे सपोर्ट करते हैं, शुरुआत Google और Cloudflare से। आप कोई कस्टम DoH एड्रेस नहीं डाल सकते।

क्या GreenTunnel इस्तेमाल करते समय Private DNS चालू रखूँ?

इसे Off या Automatic पर करें। प्रोवाइडर होस्टनेम होने पर Android लुकअप सीधे उस प्रोवाइडर को भेजता है, जिससे GreenTunnel का एन्क्रिप्टेड DNS और आपकी ब्लॉक सूची छूट जाते हैं।

क्या DoH, DoT से ज़्यादा निजी है?

दोनों लुकअप को बराबर अच्छी तरह एन्क्रिप्ट करते हैं। फ़र्क इसमें है कि इसे पहचानना और ब्लॉक करना कितना आसान है। DoT एक अलग पोर्ट इस्तेमाल करता है, जबकि DoH पोर्ट 443 पर HTTPS में घुल-मिल जाता है।

क्या एन्क्रिप्टेड DNS हर साइट अनब्लॉक कर देगा?

नहीं। यह सिर्फ़ DNS पर आधारित ब्लॉकिंग ठीक करता है। नाम फ़िल्टरिंग से ब्लॉक साइटों को और कुछ चाहिए, और IP एड्रेस से ब्लॉक साइटों को पूरी तरह अलग रास्ता चाहिए।

स्रोत

← सभी पोस्ट