O DNS particular criptografa só as consultas de nomes; a VPN criptografa todo o tráfego e esconde seu IP dos sites que você visita. Com a VPN ligada, o normal é deixar o DNS particular em Automático, para as consultas usarem o resolvedor da própria VPN dentro do túnel. Se você colocar o nome do host de um provedor, as consultas continuam criptografadas pelo túnel, mas os filtros DNS da VPN deixam de valer.
O Android tem uma opção chamada DNS particular (em alguns aparelhos, "DNS privado"), e muita gente liga achando que é uma espécie de VPN mais leve. Não é, mas também não é inútil. Os dois protegem coisas diferentes e se combinam de um jeito que vale conhecer antes de usar juntos.
O que cada um faz
Toda vez que um app abre um site, o celular primeiro pergunta a um resolvedor DNS qual é o endereço desse site. O DNS particular protege essa pergunta. A VPN protege tudo o que vem depois.
| DNS particular | VPN | |
|---|---|---|
| O que criptografa | Só as consultas DNS (os nomes dos sites e serviços que você acessa) | Todo o tráfego dos seus apps, consultas incluídas |
| Quem ainda vê os nomes | O provedor de DNS que você escolheu | O resolvedor do provedor de VPN, se você usar o dele |
| Esconde seu IP dos sites | Não | Sim, os sites veem o endereço do servidor VPN |
| Esconde da rede os sites que você visita | Em parte: as consultas ficam ocultas, mas os endereços e o nome do site no início de uma conexão HTTPS muitas vezes não | Sim, a rede vê uma única conexão criptografada |
| Bloqueio de rastreadores ou malware | Só se o provedor de DNS oferecer | Só se a VPN oferecer |
| Vem no Android | Sim, desde o Android 9 (DNS sobre TLS) | Precisa de um app de VPN |
Ou seja, o DNS particular é uma boa melhoria sozinho: impede que o Wi-Fi ou sua operadora leiam ou mexam nas suas consultas. Só que deixa o resto do tráfego tão visível quanto antes. Nosso guia sobre o que a sua operadora pode ver explica o que é esse resto.
As três opções do DNS particular
Abra Configurações › Rede e Internet › DNS particular (no Samsung: Configurações › Conexões › Mais configurações de conexão › DNS privado). Você vai ver três opções:
- Desativado: as consultas vão sem criptografia para o resolvedor que a rede indicar.
- Automático: o Android tenta DNS sobre TLS com o resolvedor da rede e, se ele não aceitar, volta para consultas sem criptografia. É o padrão.
- Nome do host do provedor de DNS particular: o Android manda todas as consultas, criptografadas, só para o provedor que você indicar. Se não conseguir alcançá-lo, as consultas falham em vez de voltar para a rede.
Esse último comportamento explica o erro comum "Não é possível acessar o servidor DNS particular": o nome foi digitado errado, o provedor está fora do ar ou a rede bloqueia o DNS sobre TLS (porta 853). Voltar para Automático resolve na hora.
Muita gente pergunta qual é a desvantagem do Automático. Sozinho, ele pode usar consultas sem criptografia em redes que não aceitam DNS sobre TLS, sem avisar você. Com a VPN ligada, tanto faz, porque as consultas passam de qualquer jeito dentro do túnel criptografado.
O que acontece quando você usa os dois
É aqui que a combinação fica interessante.
- VPN ligada e DNS particular em Automático ou Desativado. O Android usa o servidor DNS que a VPN configura, dentro do túnel. Tudo vai criptografado, e os filtros DNS que a VPN oferecer funcionam.
- VPN ligada e DNS particular com um nome de host. O Android continua mandando as consultas para esse provedor. Elas seguem criptografadas e pelo túnel, então a rede não as vê. Mas pulam o resolvedor da VPN, os filtros dela não valem, e agora são duas empresas, não uma, que veem partes da sua atividade.
Nenhuma das duas configurações vaza suas consultas para a rede. A escolha é sobre quem resolve seus nomes e quais filtros você quer.
Qual usar?
- Você quer proteger toda a conexão no Wi-Fi público: use uma VPN e deixe o DNS particular em Automático.
- Você só quer consultas criptografadas e confia num provedor de DNS específico: o DNS particular sozinho resolve. Lembre que a rede continua vendo a quais servidores você se conecta.
- Você quer um provedor de DNS específico e também uma VPN: coloque o nome do host e aceite que os filtros DNS da VPN não vão valer. Ou use a opção de DNS personalizado da própria VPN, se houver.
Filtros: o que um filtro DNS faz e o que não faz
Um filtro DNS responde "esse site não existe" para os nomes de uma lista: rastreadores conhecidos, domínios de malware e phishing, às vezes anúncios. É leve e funciona em todos os apps. Mas ele só vê nomes. Não analisa arquivos, não para um malware que já está no celular e não pega um site de phishing que ainda não entrou na lista. Não é antivírus.
Como a PryVPN cuida do DNS
- Enquanto você está conectado, o celular consulta os nomes no resolvedor do seu servidor da PryVPN, dentro do túnel. O resolvedor verifica o DNSSEC e não guarda registros de consultas.
- Na aba Proteção você escolhe o que ele filtra: Rastreadores e Malware vêm ligados; domínios de anúncios ficam desligados a menos que você ative. Alguns domínios conhecidos de malware e phishing são sempre bloqueados nos nossos servidores para conter abusos.
- Configurações › DNS personalizado permite usar outro resolvedor, também pelo túnel; os filtros então param de funcionar.
- Se o DNS particular do Android estiver com um nome de host, os filtros não valem. O teste de vazamentos do app avisa quando ele está ligado. Nosso artigo de ajuda sobre filtros DNS e DNS particular traz os detalhes.
Para conferir qual resolvedor você está usando de verdade, faça o teste de vazamentos do app; nosso artigo de ajuda sobre o teste de vazamentos explica os resultados. E sobre o protocolo do túnel, veja nossa página sobre o WireGuard.
Perguntas frequentes
Com VPN, o DNS particular deve ficar ligado ou desligado?
Automático é o mais comum. Desativado funciona do mesmo jeito enquanto a VPN está conectada. Coloque um nome de host só se quiser que aquele provedor específico resolva seus nomes.
No Wi-Fi público, só o DNS particular basta?
Ele esconde as consultas, o que já é uma melhoria. A rede ainda vê os endereços aos quais você se conecta, muitas vezes os nomes dos sites e qualquer tráfego sem criptografia. A VPN cobre tudo isso.
O DNS particular deixa a navegação mais lenta?
As consultas criptografadas acrescentam um pouco de trabalho a cada nova conexão com o resolvedor. Celulares e resolvedores guardam as respostas em cache, o que mantém esse custo baixo.
Se você quer filtros DNS e VPN num app só, e de graça, entre no beta da PryVPN.
Fontes
Viu algum erro? Escreva para support@pryvpn.com; a gente corrige e atualiza a data.
