Prywatny DNS w Androidzie a aplikacja DoH

Prywatny DNS w Androidzie szyfruje zapytania przez DNS over TLS, bez aplikacji. Kiedy lepsza jest aplikacja DoH, jak się gryzą i czego żadne nie naprawi.

Opublikowano 7 min czytaniaCzytaj po angielsku →

Jeśli szukałeś „szyfrowany DNS na Androidzie”, pewnie trafiłeś na dwie odpowiedzi. Jedna mówi: nie potrzebujesz aplikacji, wystarczy włączyć Prywatny DNS. Druga: zainstaluj aplikację obsługującą DNS over HTTPS. Obie są rozsądne. Rozwiązują ten sam problem na różne sposoby i zawodzą w różnych miejscach. Ten poradnik wyjaśnia, jak działa każde z nich, gdzie każde ma trudności i jak wybrać. Tworzymy GreenTunnel, który zawiera klienta DoH, więc czytaj z tą świadomością.

Czym naprawdę jest Prywatny DNS

Google dodało Prywatny DNS w Androidzie 9. Zwykle znajdziesz go w Ustawienia → Sieć i internet → Prywatny DNS, choć dokładna ścieżka różni się u poszczególnych producentów telefonów. Ma trzy opcje:

  • Wyłączone: zapytania idą otwartym tekstem do serwera DNS, który podaje bieżąca sieć.
  • Automatycznie: ustawienie domyślne. Android próbuje DNS over TLS z serwerem DNS samej sieci i używa go, jeśli ten serwer to obsługuje. Jeśli nie, zapytania zostają otwartym tekstem. Często nazywa się to trybem oportunistycznym i w większości sieci domowych i komórkowych oznacza brak jakiegokolwiek szyfrowania.
  • Nazwa hosta dostawcy prywatnego DNS: wpisujesz nazwę hosta dostawcy, na przykład dns.google dla Google Public DNS. Android wtedy wymaga tego serwera. Jeśli nie może się z nim połączyć, nie wraca po cichu do zwykłego DNS. Ogłoszenie Google mówi, że Android oznacza wtedy sieć jako pozbawioną dostępu do internetu.

DNS over TLS jest ustandaryzowany w RFC 7858 i używa własnego portu, 853. Ten dedykowany port to zarazem jego siła i słabość: jest czysty i oszczędny, ale sieć łatwo go rozpozna i zablokuje.

A co z DNS over HTTPS w Androidzie?

Jest tu niuans, który wiele poradników pomija. W lipcu 2022 Google ogłosiło, że dzięki aktualizacji systemowej Google Play urządzenia z Androidem 11 i nowszym używają DNS over HTTP/3 zamiast DNS over TLS dla znanych serwerów DNS, które to obsługują. Na start objęci byli dostawcy Google i Cloudflare. Wpis Google podkreśla, że usługa DNS, z której korzystasz, się nie zmienia, zmienia się tylko transport. Nadal wpisujesz nazwę hosta w to samo pole Prywatnego DNS. Nie ma pola na dowolny adres DoH, a dla innych dostawców Prywatny DNS pozostaje DNS over TLS.

Co aplikacja DoH robi inaczej

Aplikacja DoH albo aplikacja VPN z klientem DoH przejmuje DNS całego urządzenia przez miejsce VPN w Androidzie. Każde zapytanie wędruje wewnątrz HTTPS do serwera DoH, takiego jak https://cloudflare-dns.com/dns-query, zdefiniowanego w RFC 8484.

  • Używa portu 443. Dla sieci wygląda podobnie jak każde inne połączenie HTTPS. Sieć, która blokuje port 853, by zatrzymać DNS over TLS, zwykle go przepuszcza.
  • Sam wybierasz serwer i protokół. Aplikacje mogą oferować dostawców DoH i DoT obok siebie i przełączać się między nimi.
  • Może całkowicie ominąć resolver sieci. Dobry klient łączy się ze stałymi adresami IP startowymi (bootstrap) serwera DoH, więc nawet znalezienie serwera DNS nie zależy od DNS sieci.
  • Zajmuje miejsce VPN. Android pozwala na jeden VPN naraz. Aplikacja DoH nie może działać razem z inną aplikacją VPN.

Porównanie

Prywatny DNS (nazwa hosta)Aplikacja DoH
Potrzebna dodatkowa aplikacjaNieTak
ProtokółDNS over TLS lub DNS over HTTP/3 dla niektórych znanych dostawców w Androidzie 11+DNS over HTTPS (niektóre aplikacje oferują też DoT)
Port853 dla DoT443
Gdy serwer jest zablokowanySieć pokazuje brak internetu, dopóki nie zmienisz ustawieniaZależy od aplikacji. Niektóre przełączają się na innego dostawcę
Zajmuje miejsce VPNNieTak
Działa z inną aplikacją VPNTak, z konfliktami opisanymi niżejNie, tylko jeden VPN naraz
Pomaga przy filtrowaniu nazwy w HTTPSNieTylko jeśli aplikacja też to robi

Gdzie Prywatny DNS ma trudności

  • Sieci blokujące port 853. Blokują go niektóre firmy, szkoły i publiczne Wi-Fi. W trybie nazwy hosta sieć wygląda wtedy na zepsutą. Zobacz Strona działa na danych komórkowych, ale nie na Wi-Fi?, aby zobaczyć, jak to się objawia.
  • Kaprysy poszczególnych sieci. Ustawienie jest globalne, ale sieci nie są. Nazwa hosta, która działa na danych komórkowych, może nie działać w konkretnym Wi-Fi.
  • Strony logowania w publicznym Wi-Fi. Sieci w hotelach i kawiarniach ze stroną logowania mogą źle działać ze stałą nazwą hosta, dopóki nie zakończysz logowania. Chwilowe przełączenie na Automatycznie zwykle pomaga.
  • Tryb Automatycznie często nie szyfruje. Większość serwerów DNS dostawców internetu nie oferuje DNS over TLS, więc tryb Automatycznie po cichu zostaje przy zwykłym DNS.

Gdzie aplikacja DoH ma trudności

  • Musi stale działać. Jeśli Android zatrzyma aplikację, by oszczędzać baterię, zatrzyma się też ochrona DNS. Zobacz jak utrzymać VPN w działaniu na Androidzie.
  • Blokuje inne VPN-y. Nie połączysz jej z firmowym VPN na tym samym telefonie.
  • Jej serwer może być zablokowany po adresie IP. Port 443 nie pomoże, jeśli sieć blokuje adres serwera DoH. Klienci, którzy potrafią przejść na innego dostawcę, radzą sobie z tym lepiej.

Konflikt: Prywatny DNS plus aplikacja VPN

Od Androida 10 nazwa hosta Prywatnego DNS obowiązuje także wtedy, gdy działa aplikacja VPN. Instrukcje Google Public DNS zaznaczają, że w Androidzie 9 VPN miał pierwszeństwo przed Prywatnym DNS i że poprawiono to w Androidzie 10. W praktyce oznacza to, że jeśli ustawisz nazwę hosta, a potem włączysz aplikację VPN z własnym DNS, Android wyśle zapytania do Twojego dostawcy Prywatnego DNS. Szyfrowany DNS VPN-a i jego lista blokad nigdy nie zobaczą tych nazw. Jeśli ten dostawca jest zablokowany w bieżącej sieci, żadna strona się nie otworzy.

Korzystając z GreenTunnel, ustaw Prywatny DNS na Wyłączone lub Automatycznie. To jedna z pierwszych rzeczy do sprawdzenia w Strona nadal zablokowana?

Jak GreenTunnel obsługuje DNS

GreenTunnel to lokalny VPN z wbudowanym klientem szyfrowanego DNS. W Settings → DNS wybierasz jednego z trzech dostawców albo Automatic:

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

Tryb Automatic próbuje Cloudflare, potem Google, potem Quad9 i dalej używa tego, który odpowiedział. Do każdego dostawcy łączy się przez wbudowane adresy IP startowe, więc DNS Twojego dostawcy internetu nigdy nie jest pytany. DoQ nie jest obsługiwany. Pełne omówienie znajdziesz w artykule DoH i DoT w pigułce.

Różnica względem aplikacji tylko do DNS dotyczy tego, co dzieje się po zapytaniu. GreenTunnel zmienia też kształt pierwszego pakietu połączeń HTTPS, by ominąć proste filtrowanie nazw, pokazuje połączenia według aplikacji w Requester i może przetestować stronę za pomocą Inspect URL. Nigdy nie zbieramy domen, o które pytasz.

Uczciwe ograniczenia szyfrowanego DNS

Szyfrowany DNS, niezależnie od sposobu, rozwiązuje jeden rodzaj blokady: sieć, która fałszuje lub odrzuca odpowiedzi DNS. Nie powstrzymuje sieci przed odczytaniem nazwy strony w handshake HTTPS, co wymaga zmiany kształtu pakietów lub ECH. Nie omija blokady IP. Nie ukrywa Twojego adresu IP, a Twój dostawca nadal widzi, z jakimi adresami się łączysz. Wybrany dostawca DNS widzi Twoje zapytania zamiast Twojego dostawcy internetu, więc wybierz takiego, którego zasadom ufasz. GreenTunnel również nie jest narzędziem do anonimowości.

Co wybrać?

  • Chcesz tylko szyfrowanych zapytań w sieciach, które działają normalnie? Prywatny DNS z nazwą hosta dostawcy jest prosty i nie wymaga aplikacji.
  • Twoja sieć blokuje port 853, fałszuje DNS lub filtruje nazwy stron? Lepiej sprawdzi się aplikacja DoH, najlepiej taka, która radzi sobie też z filtrowaniem nazw. Ustaw Prywatny DNS na Wyłączone lub Automatycznie.
  • Używasz już firmowego VPN? Zostań przy Prywatnym DNS, bo może działać tylko jedna aplikacja VPN.

GreenTunnel jest darmowy na Androidzie i iPhonie, z opcjonalnym Premium. Zobacz, jak działa, na stronie głównej.

Najczęściej zadawane pytania

Czy Prywatny DNS w Androidzie używa DoH czy DoT?

DNS over TLS na porcie 853. Od aktualizacji systemowej Google Play z 2022 roku Android 11 i nowsze używają zamiast tego DNS over HTTP/3 dla niektórych znanych dostawców, którzy to obsługują, zaczynając od Google i Cloudflare. Nie możesz wpisać własnego adresu DoH.

Czy zostawić Prywatny DNS włączony podczas korzystania z GreenTunnel?

Ustaw go na Wyłączone lub Automatycznie. Nazwa hosta dostawcy sprawia, że Android wysyła zapytania bezpośrednio do tego dostawcy, więc szyfrowany DNS GreenTunnel i Twoja lista blokad są pomijane.

Czy DoH jest bardziej prywatny niż DoT?

Oba szyfrują zapytanie równie dobrze. Różnica polega na tym, jak łatwo je wykryć i zablokować. DoT używa dedykowanego portu, a DoH wtapia się w HTTPS na porcie 443.

Czy szyfrowany DNS odblokuje każdą stronę?

Nie. Rozwiązuje tylko blokady oparte na DNS. Strony blokowane przez filtrowanie nazwy wymagają więcej, a strony blokowane po adresie IP wymagają zupełnie innej trasy.

Źródła

← Wszystkie wpisy