DNS privato su Android o un'app DoH

Il DNS privato di Android cifra le richieste con DNS over TLS, senza app. Quando conviene un'app DoH, i conflitti tra i due e cosa nessuno risolve.

Pubblicato il 8 min di letturaLeggi in inglese →

Se hai cercato "DNS cifrato su Android", probabilmente hai trovato due risposte. Una dice: non ti serve un'app, basta attivare il DNS privato. L'altra dice: installa un'app che fa DNS over HTTPS. Entrambe sono ragionevoli. Risolvono lo stesso problema in modi diversi e falliscono in punti diversi. Questa guida spiega come funziona ciascuna, dove ognuna ha difficoltà e come scegliere. Sviluppiamo GreenTunnel, che include un client DoH, quindi leggi tenendone conto.

Cos'è davvero il DNS privato

Google ha aggiunto il DNS privato in Android 9. Di solito si trova in Impostazioni → Rete e Internet → DNS privato, anche se il percorso esatto cambia tra i produttori di telefoni. Ha tre opzioni:

  • Off: le richieste vanno in chiaro al server DNS fornito dalla rete del momento.
  • Automatico: l'impostazione predefinita. Android prova il DNS over TLS con il server DNS della rete stessa e lo usa se quel server lo supporta. Altrimenti le richieste restano in chiaro. Viene spesso chiamata modalità opportunistica, e sulla maggior parte delle reti domestiche e mobili significa nessuna cifratura.
  • Nome host del provider DNS privato: scrivi il nome host di un fornitore, per esempio dns.google per Google Public DNS. Android allora pretende quel server. Se non riesce a raggiungerlo, non torna di nascosto al DNS in chiaro. L'annuncio di Google dice che Android segna invece la rete come priva di accesso a internet.

Il DNS over TLS è standardizzato nella RFC 7858 e usa una propria porta, la 853. Quella porta dedicata è sia il suo punto di forza sia la sua debolezza: è pulita e snella, ma è anche facile per una rete riconoscerla e bloccarla.

E il DNS over HTTPS in Android?

C'è una sfumatura che molte guide trascurano. A luglio 2022 Google ha annunciato che, tramite un aggiornamento di sistema di Google Play, i dispositivi con Android 11 e versioni successive usano DNS over HTTP/3 invece di DNS over TLS per i server DNS noti che lo supportano. Al lancio i fornitori coperti erano Google e Cloudflare. Il post di Google sottolinea che il servizio DNS che usi non cambia, cambia solo il trasporto. Scrivi sempre un nome host nella stessa casella del DNS privato. Non c'è un campo per un indirizzo DoH qualsiasi, e per gli altri fornitori il DNS privato resta DNS over TLS.

Cosa fa di diverso un'app DoH

Un'app DoH, o un'app VPN con un client DoH, prende in carico il DNS dell'intero dispositivo tramite lo spazio VPN di Android. Ogni richiesta viaggia dentro HTTPS verso un server DoH come https://cloudflare-dns.com/dns-query, definito nella RFC 8484.

  • Usa la porta 443. Per la rete somiglia molto a qualsiasi altra connessione HTTPS. Una rete che blocca la porta 853 per fermare il DNS over TLS di solito la lascia passare.
  • Scegli tu server e protocollo. Le app possono offrire fornitori DoH e DoT fianco a fianco e passare dall'uno all'altro.
  • Può evitare del tutto il resolver della rete. Un buon client si collega a indirizzi IP di bootstrap fissi per il server DoH, così anche trovare il server DNS non dipende dal DNS della rete.
  • Occupa lo spazio VPN. Android permette una sola VPN alla volta. Un'app DoH non può funzionare insieme a un'altra app VPN.

A confronto

DNS privato (nome host)App DoH
Serve un'app in piùNoSì
ProtocolloDNS over TLS, o DNS over HTTP/3 per alcuni fornitori noti su Android 11+DNS over HTTPS (alcune app offrono anche DoT)
Porta853 per DoT443
Se il server è bloccatoLa rete risulta senza internet finché non cambi l'impostazioneDipende dall'app. Alcune passano a un altro fornitore
Usa lo spazio VPNNoSì
Funziona con un'altra app VPNSì, con i conflitti descritti sottoNo, una sola VPN alla volta
Aiuta contro il filtraggio del nome in HTTPSNoSolo se l'app fa anche questo

Dove il DNS privato ha difficoltà

  • Reti che bloccano la porta 853. Alcuni luoghi di lavoro, scuole e Wi-Fi pubblici la bloccano. In modalità nome host, la rete sembra allora non funzionare. Vedi Il sito si apre con i dati mobili ma non con il Wi-Fi? per capire come si manifesta.
  • Stranezze per singola rete. L'impostazione è globale, ma le reti no. Un nome host che funziona con i dati mobili può non funzionare su un particolare Wi-Fi.
  • Pagine di accesso sui Wi-Fi pubblici. Le reti di hotel e bar con una pagina di accesso possono comportarsi male con un nome host fisso finché non hai completato l'accesso. Passare per un momento ad Automatico di solito risolve.
  • Automatico spesso non è cifrato. La maggior parte dei server DNS dei provider non offre DNS over TLS, quindi Automatico resta silenziosamente sul DNS in chiaro.

Dove un'app DoH ha difficoltà

  • Deve restare in esecuzione. Se Android ferma l'app per risparmiare batteria, si ferma anche la protezione DNS. Vedi mantenere attiva una VPN su Android.
  • Blocca le altre VPN. Non puoi combinarla con una VPN di lavoro sullo stesso telefono.
  • Il suo server può essere bloccato per indirizzo IP. La porta 443 non aiuta se la rete blocca l'indirizzo del server DoH. I client che possono passare a un altro fornitore gestiscono meglio questo caso.

Il conflitto: DNS privato più un'app VPN

Da Android 10, un nome host di DNS privato si applica anche mentre è in funzione un'app VPN. Le istruzioni di Google Public DNS notano che su Android 9 una VPN aveva la precedenza sul DNS privato, e che questo è stato corretto in Android 10. In pratica, se imposti un nome host e poi attivi un'app VPN con un proprio DNS, Android invia le richieste al tuo fornitore di DNS privato. Il DNS cifrato della VPN e la sua lista di blocco non vedono mai quei nomi. Se quel fornitore è bloccato sulla rete del momento, nessun sito si apre.

Con GreenTunnel, imposta il DNS privato su Off o Automatico mentre lo usi. È uno dei primi controlli in Il sito è ancora bloccato?

Come GreenTunnel gestisce il DNS

GreenTunnel è una VPN locale con un client DNS cifrato integrato. In Settings → DNS scegli uno dei tre fornitori, oppure Automatic:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Automatic prova Cloudflare, poi Google, poi Quad9, e continua a usare quello che ha risposto. Ogni fornitore viene raggiunto tramite IP di bootstrap integrati, così il DNS del tuo provider non viene mai interrogato. DoQ non è supportato. La spiegazione completa è in DoH e DoT spiegati.

La differenza rispetto a un'app solo DNS è ciò che succede dopo la richiesta. GreenTunnel rimodella anche il primo pacchetto delle connessioni HTTPS per superare il semplice filtraggio del nome, mostra le connessioni per app in Requester e può provare un sito con Inspect URL. Non raccogliamo mai i domini che cerchi.

Limiti onesti del DNS cifrato

Il DNS cifrato, in qualunque modo lo ottieni, risolve un solo tipo di blocco: una rete che falsifica o scarta le risposte DNS. Non impedisce a una rete di leggere il nome del sito nell'handshake HTTPS, cosa che richiede il rimodellamento dei pacchetti o ECH. Non supera il blocco IP. Non nasconde il tuo indirizzo IP, e il tuo provider può ancora vedere a quali indirizzi ti colleghi. Il fornitore DNS che scegli vede le tue richieste al posto del tuo provider, quindi scegline uno di cui ti fidi della politica. Anche GreenTunnel non è uno strumento di anonimato.

Quale dovresti usare?

  • Vuoi solo richieste cifrate su reti che si comportano bene? Il DNS privato con il nome host di un fornitore è semplice e non richiede app.
  • La tua rete blocca la porta 853, falsifica il DNS o filtra i nomi dei siti? Un'app DoH, meglio se gestisce anche il filtraggio del nome, è più adatta. Imposta il DNS privato su Off o Automatico.
  • Usi già una VPN di lavoro? Resta con il DNS privato, perché può funzionare una sola app VPN.

GreenTunnel è gratuito su Android e iPhone, con Premium opzionale. Scopri come funziona nella pagina principale.

Domande frequenti

Il DNS privato di Android usa DoH o DoT?

DNS over TLS sulla porta 853. Da un aggiornamento di sistema di Google Play del 2022, Android 11 e versioni successive usano invece DNS over HTTP/3 per alcuni fornitori noti che lo supportano, a partire da Google e Cloudflare. Non puoi inserire un indirizzo DoH personalizzato.

Devo tenere attivo il DNS privato mentre uso GreenTunnel?

Impostalo su Off o Automatico. Un nome host di un fornitore fa sì che Android invii le richieste direttamente a quel fornitore, quindi il DNS cifrato di GreenTunnel e la tua lista di blocco vengono saltati.

DoH è più privato di DoT?

Entrambi cifrano la richiesta altrettanto bene. La differenza è quanto è facile individuarli e bloccarli. DoT usa una porta dedicata, mentre DoH si confonde con HTTPS sulla porta 443.

Il DNS cifrato sblocca tutti i siti?

No. Risolve solo il blocco basato sul DNS. I siti bloccati con il filtraggio del nome richiedono di più, e quelli bloccati per indirizzo IP richiedono un percorso del tutto diverso.

Fonti

← Tutti gli articoli