Android Özel DNS mi, DoH uygulaması mı?

"Android'de şifreli DNS" diye aradıysanız, muhtemelen iki cevapla karşılaştınız. Biri şöyle der: uygulamaya gerek yok, sadece Özel DNS'i açın. Diğeri der ki: DNS over HTTPS yapan bir uygulama kurun. İkisi de makul. Aynı sorunu farklı yollarla çözerler ve farklı yerlerde başarısız olurlar. Bu rehber her birinin nasıl çalıştığını, nerede zorlandığını ve nasıl seçeceğinizi anlatıyor. Bir DoH istemcisi içeren GreenTunnel'ı biz geliştiriyoruz, okurken bunu aklınızda tutun.

Özel DNS aslında nedir?

Google, Özel DNS'i Android 9'da ekledi. Genellikle Ayarlar → Ağ ve internet → Özel DNS altında bulunur, ama tam yol telefon üreticisine göre değişir. Üç seçeneği var:

• Kapalı: sorgular, o anki ağın verdiği DNS sunucusuna düz metin olarak gider.
• Otomatik: varsayılan seçenek. Android, ağın kendi DNS sunucusuyla DNS over TLS'i dener ve sunucu destekliyorsa onu kullanır. Desteklemiyorsa sorgular düz metin kalır. Buna genellikle fırsatçı mod denir ve çoğu ev ve mobil ağda hiç şifreleme olmadığı anlamına gelir.
• Özel DNS sağlayıcı ana makine adı: bir sağlayıcının ana makine adını yazarsınız. Örneğin Google Public DNS için dns.google. Android bundan sonra ısrarla o sunucuyu kullanır. Ona ulaşamazsa sessizce düz DNS'e dönmez. Google'ın duyurusuna göre Android bunun yerine ağı internet erişimi yok olarak işaretler.

DNS over TLS, RFC 7858'de standartlaştırılmıştır ve kendine ait 853 numaralı portu kullanır. Bu özel port hem gücü hem zayıflığıdır: temiz ve yalındır, ama bir ağın onu tanıyıp engellemesi de kolaydır.

Peki Android'de DNS over HTTPS?

Birçok rehberin gözden kaçırdığı bir ayrıntı var. Temmuz 2022'de Google, bir Google Play sistem güncellemesiyle Android 11 ve sonrasındaki cihazların, destekleyen tanınmış DNS sunucuları için DNS over TLS yerine DNS over HTTP/3 kullanacağını duyurdu. Başlangıçta kapsanan sağlayıcılar Google ve Cloudflare'di. Google'ın yazısı, kullandığınız DNS hizmetinin değişmediğini, yalnızca taşıma yönteminin değiştiğini vurguluyor. Yine aynı Özel DNS kutusuna bir ana makine adı yazarsınız. İstediğiniz bir DoH adresi için bir alan yoktur ve diğer sağlayıcılar için Özel DNS, DNS over TLS olarak kalır.

Bir DoH uygulaması neyi farklı yapar?

Bir DoH uygulaması ya da DoH istemcisi olan bir VPN uygulaması, Android'in VPN yuvası üzerinden tüm cihazın DNS'ini üstlenir. Her sorgu, RFC 8484'te tanımlandığı gibi, HTTPS içinde https://cloudflare-dns.com/dns-query gibi bir DoH sunucusuna gider.

• 443 numaralı portu kullanır. Ağa diğer HTTPS bağlantılarına çok benzer görünür. DNS over TLS'i durdurmak için 853 numaralı portu engelleyen bir ağ genellikle ona dokunmaz.
• Sunucuyu ve protokolü siz seçersiniz. Uygulamalar DoH ve DoT sağlayıcılarını yan yana sunabilir ve aralarında geçiş yapabilir.
• Ağın çözümleyicisini tamamen atlayabilir. İyi bir istemci DoH sunucusuna sabit önyükleme (bootstrap) IP adresleriyle bağlanır. Böylece DNS sunucusunu bulmak bile ağın DNS'ine bağlı olmaz.
• VPN yuvasını harcar. Android aynı anda yalnızca bir VPN'e izin verir. Bir DoH uygulaması başka bir VPN uygulamasıyla birlikte çalışamaz.

Yan yana

Özel DNS nerede zorlanır?

• 853 numaralı portu engelleyen ağlar. Bazı iş yerleri, okullar ve halka açık Wi-Fi'ler onu engeller. Ana makine adı modunda ağ bu durumda bozuk görünür. Bunun nasıl ortaya çıktığı için Site mobil veride açılıyor, Wi-Fi'de açılmıyor mu? yazısına bakın.
• Ağa özgü tuhaflıklar. Ayar geneldir, ama ağlar öyle değildir. Mobil veride çalışan bir ana makine adı belirli bir Wi-Fi'de başarısız olabilir.
• Halka açık Wi-Fi'deki giriş sayfaları. Giriş sayfası olan otel ve kafe ağları, girişi tamamlayana kadar sabit bir ana makine adıyla sorun çıkarabilir. Kısa bir süre Otomatik'e geçmek genellikle sorunu çözer.
• Otomatik çoğu zaman şifresizdir. Çoğu operatörün kendi DNS sunucusu DNS over TLS sunmaz. Bu yüzden Otomatik sessizce düz DNS'te kalır.

DoH uygulaması nerede zorlanır?

• Çalışmaya devam etmesi gerekir. Android pil tasarrufu için uygulamayı durdurursa DNS koruması da durur. Android'de VPN'i açık tutma yazısına bakın.
• Diğer VPN'leri engeller. Aynı telefonda bir iş VPN'iyle birlikte kullanamazsınız.
• Sunucusu IP adresiyle engellenebilir. Ağ DoH sunucusunun adresini engellerse 443 numaralı port işe yaramaz. Başka bir sağlayıcıya geçebilen istemciler bunu daha iyi idare eder.

Çakışma: Özel DNS artı bir VPN uygulaması

Android 10'dan beri bir Özel DNS ana makine adı, bir VPN uygulaması çalışırken de geçerlidir. Google'ın kendi Public DNS talimatları, Android 9'da bir VPN'in Özel DNS'i geçersiz kıldığını ve bunun Android 10'da düzeltildiğini belirtiyor. Pratikte bu şu anlama gelir: bir ana makine adı ayarlayıp sonra kendi DNS'i olan bir VPN uygulamasını açarsanız, Android sorguları bunun yerine Özel DNS sağlayıcınıza gönderir. VPN'in şifreli DNS'i ve engelleme listesi bu adları hiç görmez. O sağlayıcı mevcut ağda engelliyse her site başarısız olur.

GreenTunnel'ı kullanırken Özel DNS'i Kapalı ya da Otomatik yapın. Bu, Site hâlâ engelli mi? yazısındaki ilk kontrollerden biri.

GreenTunnel DNS'i nasıl işler?

GreenTunnel, yerleşik bir şifreli DNS istemcisi olan yerel bir VPN. Ayarlar → DNS altında üç sağlayıcıdan birini ya da Otomatik'i seçersiniz:

• Cloudflare, DoH, https://cloudflare-dns.com/dns-query
• Google, DoH, https://dns.google/dns-query
• Quad9, DoT, dns.quad9.net:853

Otomatik önce Cloudflare'i, sonra Google'ı, sonra Quad9'u dener ve hangisi cevap verdiyse onu kullanmaya devam eder. Her sağlayıcıya yerleşik önyükleme IP'leri üzerinden ulaşılır, bu yüzden operatörünüzün DNS'ine hiç sorulmaz. DoQ desteklenmiyor. Tam anlatım DoH ve DoT anlatımında.

Yalnızca DNS yapan bir uygulamadan farkı, sorgudan sonra olanlardır. GreenTunnel ayrıca basit ad filtrelemeyi aşmak için HTTPS bağlantılarının ilk paketini yeniden şekillendirir, uygulama bazında bağlantıları Requester'da gösterir ve bir siteyi URL denetle ile test edebilir. Sorguladığınız alan adlarını asla toplamayız.

Şifreli DNS'in dürüst sınırları

Şifreli DNS, hangi yolla edinirseniz edinin, tek bir tür engeli çözer: DNS cevaplarını sahteleyen ya da düşüren bir ağ. Bir ağın HTTPS el sıkışmasındaki site adını okumasını durdurmaz. Bunun için paket şekillendirme ya da ECH gerekir. IP engellemesini aşmaz. IP adresinizi gizlemez ve operatörünüz hangi adreslere bağlandığınızı yine görebilir. Seçtiğiniz DNS sağlayıcısı, operatörünüz yerine sorgularınızı görür. Bu yüzden politikasına güvendiğiniz birini seçin. GreenTunnel da bir anonimlik aracı değildir.

Hangisini kullanmalısınız?

• Düzgün çalışan ağlarda yalnızca sorguların şifrelenmesini mi istiyorsunuz? Bir sağlayıcı ana makine adıyla Özel DNS basittir ve uygulama gerektirmez.
• Ağınız 853 numaralı portu mu engelliyor, sahte DNS mi veriyor ya da site adlarını mı filtreliyor? Bir DoH uygulaması, tercihen ad filtrelemeyle de başa çıkan biri, daha uygun. Özel DNS'i Kapalı ya da Otomatik yapın.
• Zaten bir iş VPN'i mi kullanıyorsunuz? Özel DNS'te kalın, çünkü yalnızca bir VPN uygulaması çalışabilir.

GreenTunnel, Android ve iPhone'da ücretsiz. İsteğe bağlı Premium var. Nasıl çalıştığını ana sayfada görün.

Sıkça sorulan sorular

Android Özel DNS, DoH mu yoksa DoT mu kullanıyor?

853 numaralı portta DNS over TLS. 2022'deki bir Google Play sistem güncellemesinden beri Android 11 ve sonrası, destekleyen bazı tanınmış sağlayıcılar için bunun yerine DNS over HTTP/3 kullanıyor. Bunlar Google ve Cloudflare ile başladı. Özel bir DoH adresi giremezsiniz.

GreenTunnel'ı kullanırken Özel DNS açık kalmalı mı?

Kapalı ya da Otomatik yapın. Bir sağlayıcı ana makine adı, Android'in sorguları doğrudan o sağlayıcıya göndermesine yol açar. Böylece GreenTunnel'ın şifreli DNS'i ve engelleme listeniz atlanır.

DoH, DoT'tan daha mı gizli?

İkisi de sorguyu aynı derecede iyi şifreler. Fark, fark edilip engellenmesinin ne kadar kolay olduğunda. DoT özel bir port kullanır, DoH ise 443 numaralı portta HTTPS'in arasına karışır.

Şifreli DNS her sitenin engelini kaldırır mı?

Hayır. Yalnızca DNS tabanlı engellemeyi çözer. Ad filtrelemeyle engellenen siteler daha fazlasını, IP adresiyle engellenen siteler ise tamamen farklı bir rotayı gerektirir.

Kaynaklar

• Android Developers Blog, DNS over TLS support in Android P Developer Preview (Nisan 2018).
• Google Security Blog, DNS-over-HTTP/3 in Android (Temmuz 2022).
• Google Public DNS, Get started (Android Özel DNS kurulumu ve Android 9 VPN notu), Kasım 2026'da okundu.
• IETF, RFC 7858: DNS over TLS.
• IETF, RFC 8484: DNS Queries over HTTPS.