DNS particular no Android x app de DoH

O DNS particular do Android criptografa com DNS over TLS, sem app. Quando um app de DoH é melhor, como os dois entram em conflito e o que nenhum resolve.

Publicado em 8 min de leituraLer em inglês →

Se você pesquisou "DNS criptografado no Android", provavelmente encontrou duas respostas. Uma diz: você não precisa de app, é só ativar o DNS particular. A outra diz: instale um app que faça DNS over HTTPS. As duas são razoáveis. Elas resolvem o mesmo problema de jeitos diferentes e falham em lugares diferentes. Este guia explica como cada uma funciona, onde cada uma tem dificuldades e como escolher. Nós fazemos o GreenTunnel, que inclui um cliente DoH, então leia com isso em mente.

O que o DNS particular é de verdade

O Google adicionou o DNS particular no Android 9. Em geral ele fica em Configurações → Rede e Internet → DNS particular, embora o caminho exato mude conforme o fabricante do celular. Ele tem três opções:

  • Desativado: as consultas vão em texto puro para o servidor DNS que a rede atual fornecer.
  • Automático: o padrão. O Android tenta DNS over TLS com o próprio servidor DNS da rede e o usa se esse servidor tiver suporte. Se não tiver, as consultas continuam em texto puro. Isso costuma ser chamado de modo oportunista, e na maioria das redes domésticas e móveis significa nenhuma criptografia.
  • Nome do host do provedor de DNS particular: você digita o nome de host de um provedor, por exemplo dns.google para o Google Public DNS. Aí o Android insiste nesse servidor. Se não conseguir alcançá-lo, ele não volta silenciosamente para o DNS sem criptografia. O anúncio do Google diz que, em vez disso, o Android marca a rede como sem acesso à internet.

O DNS over TLS é padronizado na RFC 7858 e usa uma porta própria, a 853. Essa porta dedicada é ao mesmo tempo a força e a fraqueza dele: é limpo e enxuto, mas também é fácil para uma rede reconhecer e bloquear.

E o DNS over HTTPS no Android?

Há um detalhe que muitos guias deixam passar. Em julho de 2022, o Google anunciou que, por meio de uma atualização do sistema do Google Play, dispositivos com Android 11 ou posterior usam DNS over HTTP/3 em vez de DNS over TLS com servidores DNS conhecidos que tenham suporte. Google e Cloudflare foram os provedores incluídos no lançamento. A publicação do Google reforça que o serviço DNS que você usa não muda, só o transporte. Você continua digitando um nome de host na mesma caixa do DNS particular. Não existe campo para um endereço DoH qualquer, e com outros provedores o DNS particular continua sendo DNS over TLS.

O que um app de DoH faz de diferente

Um app de DoH, ou um app de VPN com cliente DoH, assume o DNS do dispositivo inteiro pelo espaço de VPN do Android. Cada consulta viaja dentro do HTTPS até um servidor DoH como https://cloudflare-dns.com/dns-query, definido na RFC 8484.

  • Ele usa a porta 443. Para a rede, parece muito com qualquer outra conexão HTTPS. Uma rede que bloqueia a porta 853 para barrar o DNS over TLS em geral não mexe nele.
  • Você escolhe o servidor e o protocolo. Os apps podem oferecer provedores DoH e DoT lado a lado e alternar entre eles.
  • Ele pode evitar totalmente o resolvedor da rede. Um bom cliente se conecta a endereços IP fixos de inicialização (bootstrap) do servidor DoH, então nem encontrar o servidor DNS depende do DNS da rede.
  • Ele ocupa o espaço de VPN. O Android permite uma VPN por vez. Um app de DoH não consegue rodar junto com outro app de VPN.

Lado a lado

DNS particular (nome de host)App de DoH
Precisa de um app extraNãoSim
ProtocoloDNS over TLS, ou DNS over HTTP/3 com alguns provedores conhecidos no Android 11+DNS over HTTPS (alguns apps também oferecem DoT)
Porta853 para DoT443
Se o servidor estiver bloqueadoA rede aparece sem internet até você mudar a configuraçãoDepende do app. Alguns trocam para outro provedor
Usa o espaço de VPNNãoSim
Funciona com outro app de VPNSim, com os conflitos descritos abaixoNão, só uma VPN por vez
Ajuda contra a filtragem por nome no HTTPSNãoSó se o app também fizer isso

Onde o DNS particular tem dificuldades

  • Redes que bloqueiam a porta 853. Alguns lugares de trabalho, escolas e Wi-Fi públicos a bloqueiam. No modo nome de host, a rede então parece quebrada. Veja O site abre nos dados móveis, mas não no Wi-Fi? para ver como isso aparece.
  • Particularidades de cada rede. A configuração é global, mas as redes não são. Um nome de host que funciona nos dados móveis pode falhar em um Wi-Fi específico.
  • Páginas de login em Wi-Fi público. Redes de hotel e de café com página de login podem dar problema com um nome de host fixo até você terminar de entrar. Mudar para Automático por um momento costuma resolver.
  • O Automático muitas vezes fica sem criptografia. A maioria dos servidores DNS das operadoras não oferece DNS over TLS, então o Automático fica silenciosamente no DNS sem criptografia.

Onde um app de DoH tem dificuldades

  • Ele precisa continuar rodando. Se o Android encerrar o app para economizar bateria, a proteção do DNS também para. Veja como manter uma VPN rodando no Android.
  • Ele impede outras VPNs. Você não consegue combiná-lo com uma VPN de trabalho no mesmo celular.
  • O servidor dele pode ser bloqueado por endereço IP. A porta 443 não ajuda se a rede bloqueia o endereço do servidor DoH. Clientes que conseguem trocar para outro provedor lidam melhor com isso.

O conflito: DNS particular mais um app de VPN

Desde o Android 10, um nome de host de DNS particular também vale enquanto um app de VPN está rodando. As próprias instruções do Google Public DNS observam que, no Android 9, uma VPN substituía o DNS particular, e que isso foi corrigido no Android 10. Na prática, se você define um nome de host e depois liga um app de VPN com DNS próprio, o Android envia as consultas para o seu provedor de DNS particular. O DNS criptografado da VPN e a lista de bloqueio dela nunca veem esses nomes. Se esse provedor estiver bloqueado na rede atual, todos os sites falham.

Com o GreenTunnel, coloque o DNS particular em Desativado ou Automático enquanto o usa. Essa é uma das primeiras verificações em O site continua bloqueado?

Como o GreenTunnel trata o DNS

O GreenTunnel é uma VPN local com um cliente de DNS criptografado integrado. Em Settings → DNS (Configurações → DNS), você escolhe um de três provedores, ou Automatic (Automático):

  • Cloudflare, DoH, https://cloudflare-dns.com/dns-query
  • Google, DoH, https://dns.google/dns-query
  • Quad9, DoT, dns.quad9.net:853

O Automatic tenta a Cloudflare, depois o Google, depois o Quad9, e continua usando o que respondeu. Cada provedor é alcançado por IPs de inicialização integrados, então o DNS da sua operadora nunca é consultado. DoQ não é suportado. O passo a passo completo está em DoH e DoT explicados.

A diferença em relação a um app só de DNS é o que acontece depois da consulta. O GreenTunnel também remodela o primeiro pacote das conexões HTTPS para passar pela filtragem simples por nome, mostra as conexões por app no Requester e pode testar um site com o Inspect URL. Nunca coletamos os domínios que você consulta.

Limites honestos do DNS criptografado

O DNS criptografado, seja qual for a forma de usá-lo, resolve um tipo de bloqueio: uma rede que falsifica ou descarta respostas DNS. Ele não impede que uma rede leia o nome do site no handshake do HTTPS, o que exige remodelagem de pacotes ou ECH. Ele não passa por bloqueio de IP. Ele não esconde o seu endereço IP, e a sua operadora ainda consegue ver a quais endereços você se conecta. O provedor de DNS que você escolhe vê as suas consultas no lugar da operadora, então escolha um cuja política você considere confiável. O GreenTunnel também não é uma ferramenta de anonimato.

Qual você deve usar?

  • Só quer as consultas criptografadas em redes que se comportam bem? O DNS particular com o nome de host de um provedor é simples e não precisa de app.
  • A sua rede bloqueia a porta 853, falsifica o DNS ou filtra nomes de sites? Um app de DoH, de preferência um que também trate a filtragem por nome, é a melhor escolha. Coloque o DNS particular em Desativado ou Automático.
  • Você já usa uma VPN de trabalho? Fique com o DNS particular, porque só um app de VPN pode rodar.

O GreenTunnel é gratuito no Android e no iPhone, com Premium opcional. Veja como ele funciona na página inicial.

Perguntas frequentes

O DNS particular do Android usa DoH ou DoT?

DNS over TLS na porta 853. Desde uma atualização do sistema do Google Play em 2022, o Android 11 e versões posteriores usam DNS over HTTP/3 no lugar com alguns provedores conhecidos que têm suporte, começando pelo Google e pela Cloudflare. Não dá para inserir um endereço DoH personalizado.

Devo deixar o DNS particular ligado enquanto uso o GreenTunnel?

Coloque-o em Desativado ou Automático. Um nome de host de provedor faz o Android enviar as consultas direto para esse provedor, então o DNS criptografado do GreenTunnel e a sua lista de bloqueio ficam de fora.

O DoH é mais privado que o DoT?

Os dois criptografam a consulta igualmente bem. A diferença é a facilidade de detectar e bloquear. O DoT usa uma porta dedicada, enquanto o DoH se mistura ao HTTPS na porta 443.

O DNS criptografado vai desbloquear todos os sites?

Não. Ele só resolve o bloqueio por DNS. Sites bloqueados por filtragem do nome precisam de mais, e sites bloqueados por endereço IP precisam de uma rota totalmente diferente.

Fontes

← Todos os posts