Privé-DNS op Android of een DoH-app

Privé-DNS van Android versleutelt opzoekingen met DNS over TLS, zonder app. Wanneer een DoH-app beter werkt, hoe ze botsen en wat geen van beide oplost.

Gepubliceerd 7 min lezenLees in het Engels →

Heb je gezocht naar "versleutelde DNS op Android", dan ben je waarschijnlijk twee antwoorden tegengekomen. Het ene zegt: je hebt geen app nodig, zet gewoon Privé-DNS aan. Het andere zegt: installeer een app die DNS over HTTPS doet. Beide zijn redelijk. Ze lossen hetzelfde probleem op verschillende manieren op en falen op verschillende plekken. Deze gids legt uit hoe elk werkt, waar elk moeite mee heeft en hoe je kiest. Wij maken GreenTunnel, dat een DoH-client bevat, dus lees met dat in gedachten.

Wat Privé-DNS eigenlijk is

Google voegde Privé-DNS toe in Android 9. Je vindt het meestal onder Instellingen → Netwerk en internet → Privé-DNS, al verschilt het precieze pad per telefoonmerk. Er zijn drie keuzes:

  • Uit: opzoekingen gaan als leesbare tekst naar de DNS-server die het huidige netwerk uitdeelt.
  • Automatisch: de standaard. Android probeert DNS over TLS met de eigen DNS-server van het netwerk en gebruikt die als de server het ondersteunt. Zo niet, dan blijven opzoekingen leesbaar. Dit heet vaak de opportunistische modus, en op de meeste thuis- en mobiele netwerken betekent het helemaal geen versleuteling.
  • Hostnaam van privé-DNS-provider: je typt de hostnaam van een provider, bijvoorbeeld dns.google voor Google Public DNS. Android staat dan op die server. Kan hij die niet bereiken, dan valt hij niet stilletjes terug op gewone DNS. Volgens de aankondiging van Google markeert Android het netwerk in plaats daarvan als zonder internettoegang.

DNS over TLS is gestandaardiseerd in RFC 7858 en gebruikt een eigen poort, 853. Die aparte poort is zowel zijn kracht als zijn zwakte: hij is netjes en zuinig, maar ook makkelijk voor een netwerk om te herkennen en te blokkeren.

En DNS over HTTPS in Android?

Er is een nuance die veel gidsen missen. In juli 2022 kondigde Google aan dat apparaten met Android 11 en nieuwer via een Google Play-systeemupdate DNS over HTTP/3 gebruiken in plaats van DNS over TLS voor bekende DNS-servers die het ondersteunen. Google en Cloudflare waren bij de lancering de providers die eronder vielen. Het bericht van Google benadrukt dat de DNS-dienst die je gebruikt niet verandert, alleen het transport. Je typt nog steeds een hostnaam in hetzelfde Privé-DNS-vak. Er is geen veld voor een willekeurig DoH-adres, en voor andere providers blijft Privé-DNS DNS over TLS.

Wat een DoH-app anders doet

Een DoH-app, of een VPN-app met een DoH-client, neemt via de VPN-plek van Android de DNS voor het hele apparaat over. Elke opzoeking reist binnen HTTPS naar een DoH-server zoals https://cloudflare-dns.com/dns-query, gedefinieerd in RFC 8484.

  • Hij gebruikt poort 443. Voor het netwerk lijkt het veel op elke andere HTTPS-verbinding. Een netwerk dat poort 853 blokkeert om DNS over TLS tegen te houden, laat dit meestal met rust.
  • Jij kiest de server en het protocol. Apps kunnen DoH- en DoT-providers naast elkaar aanbieden en ertussen wisselen.
  • Hij kan de resolver van het netwerk helemaal mijden. Een goede client verbindt met vaste bootstrap-IP-adressen voor de DoH-server, zodat zelfs het vinden van de DNS-server niet afhangt van de DNS van het netwerk.
  • Hij kost de VPN-plek. Android staat één VPN tegelijk toe. Een DoH-app kan niet naast een andere VPN-app draaien.

Naast elkaar

Privé-DNS (hostnaam)DoH-app
Extra app nodigNeeJa
ProtocolDNS over TLS, of DNS over HTTP/3 voor sommige bekende providers op Android 11+DNS over HTTPS (sommige apps bieden ook DoT)
Poort853 voor DoT443
Als de server geblokkeerd isNetwerk toont geen internet tot je de instelling wijzigtHangt af van de app. Sommige wisselen naar een andere provider
Gebruikt de VPN-plekNeeJa
Werkt met een andere VPN-appJa, met de conflicten hieronderNee, maar één VPN tegelijk
Helpt tegen naamfiltering in HTTPSNeeAlleen als de app dat ook doet

Waar Privé-DNS moeite mee heeft

  • Netwerken die poort 853 blokkeren. Sommige werkplekken, scholen en openbare wifi blokkeren hem. In hostnaammodus lijkt het netwerk dan kapot. Zie Site opent via mobiele data, niet via wifi? voor hoe dat eruitziet.
  • Eigenaardigheden per netwerk. De instelling is algemeen, maar netwerken zijn dat niet. Een hostnaam die op mobiele data werkt, kan falen op één bepaalde wifi.
  • Inlogpagina's op openbare wifi. Netwerken van hotels en cafés met een inlogpagina kunnen haperen met een vaste hostnaam tot je klaar bent met inloggen. Even overschakelen naar Automatisch lost dat meestal op.
  • Automatisch is vaak onversleuteld. De meeste DNS-servers van providers bieden geen DNS over TLS, dus Automatisch blijft stilletjes op gewone DNS.

Waar een DoH-app moeite mee heeft

  • Hij moet blijven draaien. Stopt Android de app om batterij te sparen, dan stopt ook de DNS-bescherming. Zie een VPN laten draaien op Android.
  • Hij blokkeert andere VPN's. Je kunt hem niet combineren met een werk-VPN op dezelfde telefoon.
  • Zijn server kan op IP-adres geblokkeerd worden. Poort 443 helpt niet als het netwerk het adres van de DoH-server blokkeert. Clients die op een andere provider kunnen terugvallen, gaan daar beter mee om.

Het conflict: Privé-DNS plus een VPN-app

Sinds Android 10 geldt een Privé-DNS-hostnaam ook terwijl een VPN-app draait. De eigen instructies van Google Public DNS vermelden dat een VPN op Android 9 Privé-DNS overschreef, en dat dit in Android 10 is opgelost. In de praktijk betekent dat: stel je een hostnaam in en zet je daarna een VPN-app met eigen DNS aan, dan stuurt Android opzoekingen naar je Privé-DNS-provider. De versleutelde DNS en de blokkeerlijst van de VPN zien die namen nooit. Is die provider op het huidige netwerk geblokkeerd, dan faalt elke site.

Zet Privé-DNS met GreenTunnel op Uit of Automatisch zolang je het gebruikt. Dit is een van de eerste controles in Site nog steeds geblokkeerd?

Hoe GreenTunnel met DNS omgaat

GreenTunnel is een lokale VPN met een ingebouwde client voor versleutelde DNS. Onder Settings → DNS kies je een van drie providers, of Automatic:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Automatic probeert Cloudflare, dan Google, dan Quad9, en blijft de provider gebruiken die antwoordde. Elke provider wordt bereikt via ingebouwde bootstrap-IP's, dus de DNS van je provider wordt nooit gevraagd. DoQ wordt niet ondersteund. De volledige uitleg staat in DoH en DoT uitgelegd.

Het verschil met een app die alleen DNS doet, is wat er na de opzoeking gebeurt. GreenTunnel geeft ook het eerste pakket van HTTPS-verbindingen een andere vorm om langs eenvoudige naamfiltering te komen, toont verbindingen per app in Requester en kan een site testen met Inspect URL. We verzamelen nooit de domeinen die je opzoekt.

Eerlijke grenzen van versleutelde DNS

Versleutelde DNS, op welke manier je het ook krijgt, lost één soort blokkade op: een netwerk dat DNS-antwoorden vervalst of weggooit. Het houdt een netwerk niet tegen dat de sitenaam in de HTTPS-handshake leest, daarvoor is het anders vormgeven van pakketten of ECH nodig. Het komt niet langs IP-blokkering. Het verbergt je IP-adres niet, en je provider kan nog steeds zien met welke adressen je verbindt. De DNS-provider die je kiest, ziet je opzoekingen in plaats van je internetprovider, dus kies er een wiens beleid je vertrouwt. GreenTunnel is evenmin een anonimiteitstool.

Wat moet je gebruiken?

  • Wil je alleen versleutelde opzoekingen op netwerken die zich normaal gedragen? Privé-DNS met een providerhostnaam is eenvoudig en heeft geen app nodig.
  • Blokkeert je netwerk poort 853, vervalst het DNS of filtert het sitenamen? Een DoH-app, liefst een die ook naamfiltering aanpakt, past beter. Zet Privé-DNS op Uit of Automatisch.
  • Gebruik je al een werk-VPN? Blijf bij Privé-DNS, want er kan maar één VPN-app draaien.

GreenTunnel is gratis op Android en iPhone, met optioneel Premium. Zie hoe het werkt op de homepage.

Veelgestelde vragen

Gebruikt Privé-DNS van Android DoH of DoT?

DNS over TLS op poort 853. Sinds een Google Play-systeemupdate in 2022 gebruiken Android 11 en nieuwer in plaats daarvan DNS over HTTP/3 voor sommige bekende providers die het ondersteunen, te beginnen met Google en Cloudflare. Je kunt geen eigen DoH-adres invoeren.

Moet ik Privé-DNS aan laten terwijl ik GreenTunnel gebruik?

Zet het op Uit of Automatisch. Met een providerhostnaam stuurt Android opzoekingen rechtstreeks naar die provider, waardoor de versleutelde DNS van GreenTunnel en je blokkeerlijst worden overgeslagen.

Is DoH privéer dan DoT?

Beide versleutelen de opzoeking even goed. Het verschil is hoe makkelijk het te herkennen en te blokkeren is. DoT gebruikt een eigen poort, terwijl DoH opgaat in HTTPS op poort 443.

Deblokkeert versleutelde DNS elke site?

Nee. Het lost alleen blokkering via DNS op. Sites die door naamfiltering geblokkeerd worden, hebben meer nodig, en sites die op IP-adres geblokkeerd worden, hebben een heel andere route nodig.

Bronnen

← Alle berichten