Private DNS Android vs aplikasi DoH

Jika anda pernah mencari "DNS disulitkan di Android", anda mungkin menemui dua jawapan. Satu berkata: anda tidak perlukan aplikasi, hidupkan sahaja Private DNS. Satu lagi berkata: pasang aplikasi yang melakukan DNS over HTTPS. Kedua-duanya munasabah. Ia menyelesaikan masalah yang sama dengan cara berbeza dan gagal di tempat berbeza. Panduan ini menerangkan cara setiap satu berfungsi, di mana setiap satu menghadapi kesukaran, dan cara memilih. Kami membuat GreenTunnel, yang mengandungi klien DoH, jadi bacalah dengan mengingati perkara itu.

Apa sebenarnya Private DNS

Google menambah Private DNS dalam Android 9. Ia biasanya terdapat di bawah Settings → Network & internet → Private DNS (dalam bahasa Melayu biasanya DNS Peribadi), walaupun laluan tepatnya berbeza antara pengeluar telefon. Ia mempunyai tiga pilihan:

Off (Mati): carian dihantar dalam teks biasa ke mana-mana pelayan DNS yang diberikan oleh rangkaian semasa.
Automatic (Automatik): tetapan lalai. Android mencuba DNS over TLS dengan pelayan DNS rangkaian itu sendiri dan menggunakannya jika pelayan itu menyokongnya. Jika tidak, carian kekal dalam teks biasa. Ini sering dipanggil mod oportunistik, dan pada kebanyakan rangkaian rumah dan mudah alih ia bermakna tiada penyulitan langsung.
Private DNS provider hostname (nama hos penyedia): anda menaip nama hos penyedia, contohnya dns.google untuk Google Public DNS. Android kemudian berkeras menggunakan pelayan itu. Jika ia tidak dapat mencapainya, ia tidak diam-diam kembali ke DNS biasa. Pengumuman Google menyatakan Android sebaliknya menandakan rangkaian itu sebagai tiada akses internet.

DNS over TLS dipiawaikan dalam RFC 7858 dan menggunakan port sendiri, iaitu 853. Port khusus itu ialah kekuatan dan juga kelemahannya: ia kemas dan ringan, tetapi juga mudah dikenali dan disekat oleh rangkaian.

Bagaimana pula dengan DNS over HTTPS dalam Android?

Ada satu perincian yang terlepas oleh banyak panduan. Pada Julai 2022 Google mengumumkan bahawa, melalui kemas kini sistem Google Play, peranti Android 11 dan ke atas menggunakan DNS over HTTP/3 dan bukan DNS over TLS untuk pelayan DNS terkenal yang menyokongnya. Google dan Cloudflare ialah penyedia yang diliputi semasa pelancaran. Catatan Google menegaskan bahawa perkhidmatan DNS yang anda gunakan tidak berubah, hanya cara penghantarannya. Anda masih menaip nama hos dalam kotak Private DNS yang sama. Tiada medan untuk alamat DoH sewenang-wenangnya, dan bagi penyedia lain Private DNS kekal DNS over TLS.

Apa yang dilakukan aplikasi DoH secara berbeza

Aplikasi DoH, atau aplikasi VPN dengan klien DoH, mengambil alih DNS untuk seluruh peranti melalui slot VPN Android. Setiap carian bergerak di dalam HTTPS ke pelayan DoH seperti https://cloudflare-dns.com/dns-query, yang ditakrifkan dalam RFC 8484.

Ia menggunakan port 443. Bagi rangkaian, ia kelihatan seperti sambungan HTTPS lain. Rangkaian yang menyekat port 853 untuk menghalang DNS over TLS biasanya membiarkannya.
Anda memilih pelayan dan protokol. Aplikasi boleh menawarkan penyedia DoH dan DoT bersebelahan dan bertukar antara mereka.
Ia boleh mengelak penyelesai rangkaian sepenuhnya. Klien yang baik menyambung ke alamat IP bootstrap tetap untuk pelayan DoH, jadi mencari pelayan DNS pun tidak bergantung pada DNS rangkaian.
Ia menggunakan slot VPN. Android hanya membenarkan satu VPN pada satu masa. Aplikasi DoH tidak boleh berjalan bersama aplikasi VPN lain.

Perbandingan sebelah-menyebelah

	Private DNS (nama hos)	Aplikasi DoH
Perlu aplikasi tambahan	Tidak	Ya
Protokol	DNS over TLS, atau DNS over HTTP/3 untuk sesetengah penyedia terkenal di Android 11+	DNS over HTTPS (sesetengah aplikasi juga menawarkan DoT)
Port	853 untuk DoT	443
Jika pelayan disekat	Rangkaian menunjukkan tiada internet sehingga anda mengubah tetapan	Bergantung pada aplikasi. Sesetengahnya beralih ke penyedia lain
Menggunakan slot VPN	Tidak	Ya
Berfungsi dengan aplikasi VPN lain	Ya, dengan konflik yang diterangkan di bawah	Tidak, hanya satu VPN pada satu masa
Membantu terhadap penapisan nama dalam HTTPS	Tidak	Hanya jika aplikasi itu juga melakukannya

Di mana Private DNS menghadapi kesukaran

Rangkaian yang menyekat port 853. Sesetengah tempat kerja, sekolah dan Wi-Fi awam menyekatnya. Dalam mod nama hos, rangkaian itu kemudian kelihatan rosak. Lihat Laman dibuka dengan data mudah alih, tetapi tidak dengan Wi-Fi? untuk cara ia berlaku.
Keanehan setiap rangkaian. Tetapan ini global, tetapi rangkaian tidak. Nama hos yang berfungsi pada data mudah alih boleh gagal pada satu Wi-Fi tertentu.
Halaman log masuk pada Wi-Fi awam. Rangkaian hotel dan kafe dengan halaman log masuk boleh bermasalah dengan nama hos tetap sehingga anda selesai log masuk. Bertukar kepada Automatik seketika biasanya menyelesaikannya.
Automatik selalunya tidak disulitkan. Kebanyakan pelayan DNS ISP sendiri tidak menawarkan DNS over TLS, jadi Automatik diam-diam kekal pada DNS biasa.

Di mana aplikasi DoH menghadapi kesukaran

Ia mesti terus berjalan. Jika Android menghentikan aplikasi untuk menjimatkan bateri, perlindungan DNS juga berhenti. Lihat memastikan VPN terus berjalan di Android.
Ia menghalang VPN lain. Anda tidak boleh menggabungkannya dengan VPN kerja pada telefon yang sama.
Pelayannya boleh disekat mengikut alamat IP. Port 443 tidak membantu jika rangkaian menyekat alamat pelayan DoH. Klien yang boleh beralih ke penyedia lain mengendalikannya dengan lebih baik.

Konflik: Private DNS bersama aplikasi VPN

Sejak Android 10, nama hos Private DNS juga terpakai semasa aplikasi VPN berjalan. Arahan Google Public DNS sendiri menyatakan bahawa di Android 9, VPN mengatasi Private DNS, dan ini telah dibetulkan dalam Android 10. Dalam praktiknya, jika anda menetapkan nama hos dan kemudian menghidupkan aplikasi VPN dengan DNS sendiri, Android menghantar carian ke penyedia Private DNS anda. DNS disulitkan VPN dan senarai sekatnya tidak pernah melihat nama-nama itu. Jika penyedia itu disekat pada rangkaian semasa, setiap laman gagal.

Dengan GreenTunnel, tetapkan Private DNS kepada Mati atau Automatik semasa anda menggunakannya. Ini antara semakan pertama dalam Laman masih disekat?

Cara GreenTunnel mengendalikan DNS

GreenTunnel ialah VPN tempatan dengan klien DNS disulitkan terbina dalam. Di bawah Tetapan → DNS anda memilih satu daripada tiga penyedia, atau Automatik:

Cloudflare, DoH, https://cloudflare-dns.com/dns-query
Google, DoH, https://dns.google/dns-query
Quad9, DoT, dns.quad9.net:853

Automatik mencuba Cloudflare, kemudian Google, kemudian Quad9, dan terus menggunakan yang mana menjawab. Setiap penyedia dicapai melalui IP bootstrap terbina dalam, jadi DNS ISP anda tidak pernah ditanya. DoQ tidak disokong. Panduan penuh ada dalam penerangan DoH dan DoT.

Perbezaannya dengan aplikasi DNS sahaja ialah apa yang berlaku selepas carian. GreenTunnel juga membentuk semula paket pertama sambungan HTTPS untuk melepasi penapisan nama yang mudah, menunjukkan sambungan setiap aplikasi dalam Requester, dan boleh menguji laman dengan Periksa URL. Kami tidak pernah mengumpul domain yang anda cari.

Had jujur DNS disulitkan

DNS disulitkan, dengan apa jua cara anda mendapatkannya, membaiki satu jenis sekatan: rangkaian yang memalsukan atau membuang jawapan DNS. Ia tidak menghalang rangkaian daripada membaca nama laman dalam jabat tangan HTTPS, yang memerlukan pembentukan semula paket atau ECH. Ia tidak melepasi sekatan IP. Ia tidak menyembunyikan alamat IP anda, dan ISP anda masih boleh melihat alamat mana yang anda sambungkan. Penyedia DNS yang anda pilih melihat carian anda menggantikan ISP anda, jadi pilih penyedia yang dasarnya anda percayai. GreenTunnel juga bukan alat anonimiti.

Yang mana patut anda gunakan?

Hanya mahu carian disulitkan pada rangkaian yang berkelakuan baik? Private DNS dengan nama hos penyedia adalah mudah dan tidak memerlukan aplikasi.
Rangkaian anda menyekat port 853, memalsukan DNS, atau menapis nama laman? Aplikasi DoH, sebaik-baiknya yang juga menangani penapisan nama, lebih sesuai. Tukar Private DNS kepada Mati atau Automatik.
Anda sudah menggunakan VPN kerja? Kekal dengan Private DNS, kerana hanya satu aplikasi VPN boleh berjalan.

GreenTunnel percuma di Android dan iPhone, dengan Premium pilihan. Lihat cara ia berfungsi di laman utama.

Soalan lazim

Adakah Private DNS Android menggunakan DoH atau DoT?

DNS over TLS pada port 853. Sejak kemas kini sistem Google Play pada 2022, Android 11 dan ke atas menggunakan DNS over HTTP/3 untuk sesetengah penyedia terkenal yang menyokongnya, bermula dengan Google dan Cloudflare. Anda tidak boleh memasukkan alamat DoH tersuai.

Patutkah saya biarkan Private DNS hidup semasa menggunakan GreenTunnel?

Tetapkannya kepada Mati atau Automatik. Nama hos penyedia menyebabkan Android menghantar carian terus ke penyedia itu, jadi DNS disulitkan GreenTunnel dan senarai sekat anda dilangkau.

Adakah DoH lebih peribadi daripada DoT?

Kedua-duanya menyulitkan carian sama baik. Perbezaannya ialah betapa mudah ia dikesan dan disekat. DoT menggunakan port khusus, manakala DoH bercampur dengan HTTPS pada port 443.

Adakah DNS disulitkan akan membuka sekatan setiap laman?

Tidak. Ia hanya membaiki sekatan berasaskan DNS. Laman yang disekat melalui penapisan nama memerlukan lebih, dan laman yang disekat mengikut alamat IP memerlukan laluan yang berbeza sama sekali.

Sumber

Android Developers Blog, DNS over TLS support in Android P Developer Preview (April 2018).
Google Security Blog, DNS-over-HTTP/3 in Android (Julai 2022).
Google Public DNS, Get started (persediaan Private DNS Android dan nota VPN Android 9), dibaca pada November 2026.
IETF, RFC 7858: DNS over TLS.
IETF, RFC 8484: DNS Queries over HTTPS.