DNS server operation in integrated mode

[Insight16]

Please answer the following questions for yourself before submitting an issue

• Filters were updated before reproducing an issue
• I checked the knowledge base and found no answer
• I checked to make sure that this issue has not already been filed

AdGuard version

4.12.81

Environment

• OS version: Android 16 One Ui 8.5
• Device: Samsung Galaxy S25

HTTPS filtering

• yes, I do

Integration with AdGuard VPN

• yes, I do

Routing mode

Local VPN

Ad Blocking

AdGuard Base filter, AdGuard Mobile Ads filter

Privacy

AdGuard Tracking Protection filter, AdGuard URL Tracking filter

Social

AdGuard Social Media filter

Annoyances

AdGuard Cookie Notices filter, AdGuard Popups filter, AdGuard Mobile App Banners filter, AdGuard Other Annoyances filter, AdGuard Widgets filter

Security

Online Malicious URL Blocklist

Language-specific

AdGuard Russian filter

What Stealth Mode options do you have enabled?

Remove tracking parameters from URLs, Hide your search queries, Ask websits not to track you, Self-destruction of third-party cookies, Block ETag and If-None-Match headers, Disable WebRTC, Block Push API, Block Location API, Protect against DPI, Block trackers

Which DNS server do you use?

Automatic DNS

Custom DNS

Используется "Автоматический DNS", где указаны настройки по умолчанию

• В домашней сети используется DNS сервер роутера, в моем случае это "192.168.50.10"
• Для режима интеграции используется сервер(а) "AdGuard без фильтрации" (по умолчанию)

Issue Details

Здравствуйте! У меня установлено два браузера. Первый Samsung Internet Browser, а второй Samsung Internet Browser Beta. Для обоих браузеров включена полноценная фильтрация трафика через приложение AdGuard AdBlock, но для одного из них, я включил "направление трафика через прокси". В этот момент работает AdGuard VPN в режиме интеграции. В настройках VPN выбран режим работы "на всех сайтах, кроме выборочных". Версия ПО VPN на данный момент 2.16.65 (актуальный релиз)

Воспроизвести проблему можно так:

1. Включить AdGuard AdBlock + AdGuard VPN в режиме интеграции
2. В настройках DNS фильтрации в приложении AdGuard AdBlock выбрать "Автоматический DNS", где установлены настройки по умолчанию исходя из информации выше
3. Зайти на любой сайт через браузер, где выключено "направление трафика через прокси" и через браузер, где "направление трафика через прокси" включено. Для своего примера я взял поисковик "google.com"
4. Зайти в AdGuard Adblock, в журнал фильтрации и посмотреть через какой DNS сервер идет запрос

Expected Behavior

Samsung Internet Browser обращается к DNS серверу "192.168.50.10", т.к. "направление трафика через прокси" выключено
Samsung Internet Browser Beta обращается к DNS серверу "AdGuard без фильтрации", т.к. "направление трафика через прокси" включено

Actual Behavior

Оба браузера обращаются к DNS серверу "AdGuard без фильтрации"

Screenshot

[maxikuzmin]

@Insight16 что именно вы понимаете под "направление трафика через прокси"?
исключение в AdGuard VPN?
проксирование через VPN?
outbound proxy в AdGuard?

Почему DNS должен различаться между браузерами?

[Insight16]

@maxikuzmin отвечу по пунктам:

1. "Направление трафика через прокси" в моем понимании подразумевает, что, если работает AdGuard VPN в режиме интеграции и в AdGuard AdBlock в настройках для опредленного приложения включена эта функция, то трафик пойдет не "напрямую", а через "прокси", в данном случае, через AdGuard VPN
2. В AdGuard VPN исключения устанавливаются через AdGuard AdBlock при условии, что работает режим интеграции
3. Вопрос не совсем понял, речь пока идет чисто о режиме интеграции
4. DNS между браузерами, полагаю, должен отличаться, т.к. один браузер идет напрямую, а второй через AdGuard VPN (можно увидеть на скриншотах, что я прислал выше)

[maxikuzmin]

@Insight16 Спасибо за подробное объяснение

Насколько я понимаю ваш сценарий, вы ожидаете, что браузер с включённой опцией «Направлять трафик через прокси» будет использовать не только другой маршрут трафика (через AdGuard VPN), но и другой DNS-сервер

Однако в режиме интеграции это работает не совсем так. DNS-разрешение и дальнейшая маршрутизация трафика могут обрабатываться отдельно. Поэтому приложение, направленное через AdGuard VPN, не обязательно будет использовать другой DNS-сервер по сравнению с приложением, которое идёт напрямую

В документации AdGuard есть важное примечание: DNS-запросы поступают от системного резолвера Android, а не от конкретного приложения. Поэтому одинаковый DNS-сервер в журнале фильтрации для обоих браузеров в вашем случае выглядит ожидаемым поведением

Подробнее об этом можно почитать здесь:
https://adguard.com/kb/adguard-for-android/features/settings/

Особенно обратите внимание на разделы про Routing mode и DNS filtering

[Insight16]

Насколько я понимаю ваш сценарий, вы ожидаете, что браузер с включённой опцией «Направлять трафик через прокси» будет использовать не только другой маршрут трафика (через AdGuard VPN), но и другой DNS-сервер

И да и нет. Я ожидал, что ТОЛЬКО браузер (или любое другое приложение) с включённой опцией "направлять трафик через прокси" будет использовать другой маршрут трафика (через AdGuard VPN) и DNS выбранный для его работы, который можно задать или использовать по умолчанию в приложении AdGuard AdBlock в настройках DNS .

Просто здесь другой момент. Если мне нужно фильтровать и скажем так, проксировать (через AdGuard VPN) одно приложение и при этом я просто хочу фильтровать трафик другого приложения (без проксирования через AdGuard VPN), пусть это будет даже не браузер, а какое-нибудь другое приложение, которое очень активно использует метрику для отслеживания действий, но его мне не желательно как-то включать в маршрут DNS трафика, что использует AdGuard VPN. Может ли это быть своего рода уязвимостью? Я могу как-то этого избежать?

[maxikuzmin]

@Insight16 насколько я понимаю, в вашем сценарии смешиваются маршрутизация трафика и DNS-разрешение. Направление трафика через AdGuard VPN можно настраивать для отдельных приложений, однако DNS-защита работает глобально на уровне системы и не настраивается отдельно для каждого приложения. Поэтому наличие одинакового DNS-сервера в журнале для обоих браузеров выглядит ожидаемым поведением. Если ваша цель - чтобы разные приложения использовали разные DNS-серверы, то это невозможно.

DNS-защита в AdGuard работает на уровне системы через системный DNS-резолвер Android. Из-за этого нельзя настроить один DNS для приложения, которое идёт через AdGuard VPN, и другой DNS для приложения, которое не использует VPN. В режиме интеграции можно разделять маршрутизацию трафика через VPN, но не DNS-серверы для отдельных приложений.

[Insight16]

@maxikuzmin приму к сведению. А если я отключу фильтрацию DNS трафики в AdGuard AdBlock, что-нибудь поменяется в этом плане или по сути, схема работы останется аналогично той, что использовалась ранее, описанная Вами? И еще, если, условно, отключить режим интеграции и включить режим прокси в AdGuard VPN и прописать его настройки в AdGuard AdBlock, ситауция всеравно никак не изменится? Дико извиняюсь за свои, подобного рода вопросы, просто хочу разобраться)

[maxikuzmin]

@Insight16 если отключить DNS-фильтрацию в AdGuard, то DNS-запросы просто перестанут обрабатываться модулем DNS-защиты AdGuard и будут использоваться системные настройки DNS. Но сама идея разделения DNS по приложениям от этого не появится - DNS всё равно останется общим для устройства, а не отдельным для каждого приложения.

Что касается второго варианта (отключить режим интеграции и использовать AdGuard VPN как обычный прокси, прописанный в AdGuard), то насколько мне известно, ни режим интеграции, ни режим прокси не предоставляют per-app DNS-маршрутизацию, когда одно приложение использует один DNS-сервер, а другое - другой.

То есть, если упростить:

• маршрутизацию трафика можно разделять по приложениям
• DNS обычно остаётся общим для всей системы/защиты

[Insight16]

@maxikuzmin спасибо большое за подробное объяснение того, как это все устроено и работает. Узнал очень много новой и полезной информации. Жаль, что это работает немного не так, как я надеялся (хотел верить). Я так же надеюсь, что это не является своего рода уязвимостью, ведь, как мне кажется. смешивать воедино весь DNS трафик разных приложений (при условии, что часть этих приложений уходит в VPN или прокси), весьма спорная затея. Но опять же, как я выяснил благодаря Вам, такова специфика Android OS, а не проблема приложения. Еще раз спасибо!

[Insight16]

@maxikuzmin здравствуйте! Я почитал немного про "per-app DNS-маршрутизацию". Как я понял, на Android есть пара-тройка приложений, который ее умеют. Теоритически и AdGuard так может, если такой функционал в него внедрить. Может стоит на примере данного топика сделать "Feature request"? Возможно не в ближайшем будующем, а в целом, данный функционал появится в AdGuard AdBlock для Android :)