DNS an einem Alltagsbeispiel
Wenn du example.com eingibst, benötigt die App zuerst Adressdatensätze. Sie stellt eine DNS-Frage über den für App und Netzwerk verfügbaren Resolverpfad. Die Antwort kann IPv4, IPv6, einen weiteren Namen oder „nicht vorhanden“ enthalten.
Darum kann ein DNS-Fehler anders aussehen als ein vollständiger Internetausfall: Bereits bekannte Ziele funktionieren möglicherweise, während neue Namen nicht aufgelöst werden.
Die Rollen einer typischen Auflösung
Die Anwendung startet die Frage. Ein rekursiver Resolver beantwortet sie aus dem Cache oder sucht weiter. Autoritative Server veröffentlichen die Daten einer DNS-Zone. Der Cache speichert Antworten nur für ihre erlaubte Dauer.
In der Praxis können Router weiterleiten, große Resolver Anycast verwenden und Browser eigenes verschlüsseltes DNS einsetzen. Der sichtbare Betreiber muss daher nicht der wörtlich in Android eingetragene Server sein.
- App oder Stub-Resolver: startet die Anfrage.
- Rekursiver Resolver: sucht und speichert Antworten.
- Autoritativer Server: veröffentlicht Zonendaten.
- Cache: vermeidet unnötige Wiederholungen.
Vertiefe das Thema mit VPN mit IP und DNS prüfen, vergleiche es mit IP- und Netzwerkgrundlagen lernen oder nutze IP Finder für Android als nächsten praktischen Schritt.
Wer den Resolverpfad bestimmt
Android kann DNS vom WLAN oder Mobilfunknetz erhalten. Private DNS wählt einen verschlüsselten Anbieter. Browser können eine eigene Secure-DNS-Einstellung besitzen. Unternehmen und VPNs können den Pfad ebenfalls vorgeben.
Bei einem unerwarteten Ergebnis notierst du deshalb Netzwerk, Android Private DNS, Browser-DNS, VPN und Split-Tunneling, bevor du von einem Leak sprichst.
Die Protokolldetails dieses Beitrags folgen RFC 1034 — Domain Names: Concepts and Facilities und RFC 1035 — Domain Names: Implementation and Specification; dort findest du verbindliche Begriffe und das Verhalten in Sonderfällen.
Was ein DNS-Leak-Test beobachtet
Ein Test erzeugt eindeutige Namen unter Kontrolle des Testbetreibers. Wenn Resolver-Infrastruktur die autoritativen Server danach fragt, kann der Betreiber Quelle, Organisation und ungefähres Land zuordnen.
Der Test liest keine vollständige Gerätehistorie. Cache, Weiterleitungen, Anycast, Anwendungs-DNS und Zeitpunkt beeinflussen das Bild. Er beantwortet nur, welche Resolver-Infrastruktur diese Testnamen bearbeitet hat.
Was „DNS-Leak“ im VPN-Kontext bedeutet
Ein Leak ist eine Abweichung vom erwarteten VPN-Design. Verspricht der Anbieter DNS im Tunnel zu eigenen Resolvern, kann der weiterhin sichtbare Basis-ISP unerwartet sein. Erlaubt die Konfiguration eigenes DNS oder Split Tunneling, kann ein fremder Resolver beabsichtigt sein.
Ein sinnvoller Vorher-Nachher-Test
Erstelle ohne VPN eine Ausgangsmessung von öffentlicher IP, Netzorganisation und allen DNS-Ergebnissen. Verbinde das VPN, behalte das Zugangsnetz bei und wiederhole frisch. Vergleiche mit Ausgangsregion, DNS- und Split-Tunneling-Regeln des Anbieters.
- Ausgang messen
Ohne VPN IP und DNS notieren.
- VPN verbinden
Auf aktiven Tunnel warten.
- Frisch wiederholen
Alle Resolver und beide Adressfamilien prüfen.
- Erwartung vergleichen
Provider-Dokumentation und Einstellungen heranziehen.
Unerwartete Resolver untersuchen
Wiederhole im selben Browser oder in derselben App, kontrolliere Private DNS und Browser-DNS, prüfe Ausschlüsse im Split Tunneling und teste nach einem erneuten Verbinden. Bleibt der Pfad unklar, sende Ausgangs- und VPN-Messung samt Zeit und Konfiguration an den Anbieter.
Was der Test nicht beweist
Ein DNS-Test prüft nicht jede App, jedes Protokoll, jede Verschlüsselung oder die Sicherheit der VPN-Implementierung. Er beweist keine vollständige Anonymität und kann die beobachtete Konfiguration nicht reparieren.
Die vier Rollen einer DNS-Auflösung
Die sichtbare DNS-Kette ist nicht immer mit einem einzelnen Server gleichzusetzen. Ein Heimrouter kann Anfragen weiterleiten, ein großer Resolver mehrere Anycast-Standorte nutzen und ein Browser unabhängig von Android verschlüsseltes DNS einschalten. Der im Test genannte Betreiber kann deshalb zur vorgelagerten Infrastruktur gehören.
- Anwendung oder Stub-Resolver
- Startet die Frage auf dem Gerät über das Betriebssystem oder eine eigene DNS-Funktion.
- Rekursiver Resolver
- Sucht oder speichert die Antwort für den Client und kann von Provider, DNS-Dienst, Unternehmen oder VPN betrieben werden.
- Autoritativer Server
- Veröffentlicht die Datensätze einer Zone, die ein rekursiver Resolver bei fehlendem Cache abfragt.
- Cache
- Bewahrt eine Antwort für ihre erlaubte Gültigkeitsdauer auf und vermeidet unnötige Wiederholungen.
Private DNS, Browser-DNS und VPN sind getrennte Ebenen
Android Private DNS kann einen verschlüsselten Anbieter festlegen. Ein Browser kann zusätzlich Secure DNS verwenden, während ein VPN eigene Resolver verteilt oder nur bestimmte Apps durch den Tunnel führt. Diese Ebenen können absichtlich verschiedene Wege erzeugen; ein unbekannter Name ist daher zunächst eine Beobachtung und noch kein Leak.
Notiere für einen Vergleich das Zugangsnetz, Android Private DNS, die DNS-Einstellung des Browsers, den VPN-Server und Split-Tunneling-Regeln. Verwende danach frische Testnamen, weil ein alter Cache nicht zwingend den aktuellen Resolverpfad zeigt.
DNS-Probleme von allgemeinen Verbindungsfehlern trennen
Wenn bekannte oder direkt adressierte Ziele funktionieren, neue Domainnamen aber scheitern, ist die Namensauflösung ein stärkerer Verdacht als der gesamte Internetzugang. Schlägt dagegen auch die Route zur Gateway- oder Zieladresse fehl, liegt die Ursache möglicherweise früher im lokalen oder Providerpfad.
Teste erneut mit demselben Browser und anschließend mit einer anderen Anwendung. Prüfe, ob nur ein Resolver, eine Adressfamilie oder das gesamte Netz betroffen ist. Eine solche Eingrenzung liefert einem Provider oder VPN-Support mehr verwertbare Hinweise als das Wort „DNS-Leak“ allein.
Welche Schlussfolgerung ein Test stützt
Ein erwarteter Resolver bestätigt, dass die besonderen Anfragen dieses Tests die erwartete Infrastruktur erreicht haben. Er prüft nicht jede App, alle zwischengespeicherten Antworten, alle Protokolle oder die Kryptografie des VPN. Umgekehrt kann ein abweichender Betreiber durch Weiterleitung, Anycast oder eine bewusste Browserregel erklärt sein.
Formuliere das Ergebnis deshalb eng: welcher Test, welche App, welches Netzwerk, welche Resolver und welcher Zeitpunkt. Diese Angaben lassen sich wiederholen und mit der Dokumentation des ausgewählten DNS- oder VPN-Dienstes vergleichen.