AndroidデバイスがCatoを通じて内部リソースに到達できない

問題

Androidデバイスで、ユーザーはCatoに接続中に内部リソースに到達できません

環境

• Android v9以上
• バージョンに関係なくCato SDPクライアント
• 内部ドメイン用に設定されたDNSフォワーディング

問題点

この問題はAndroidのプライベートDNSに関連している可能性があります。 この機能はデフォルトでバージョン9以上で有効化されており、サーバーがサポートしていれば、セキュアなチャネルを使用してDNSサーバーに接続します。

デフォルトでは、プライベートDNSは"自動"に設定されています。これは、ネットワーク指定の(WiFiアダプタ) DNSサーバーを使用し、ポート853でDoT (DNS over TLS) 接続を試み、失敗した場合にはポート53でUDPベースのDNSにフォールバックします。

CatoはDoTクエリをインターセプトせず、DNS フォワーディングが失敗し、ユーザーは内部リソースにアクセスできないか、取得されたDNS結果が予想とは異なる場合があります。

解決策

以下の解決策を実施できます：

1. ファイアウォールルールでDoH (DNS over HTTP) および DNS over TLS を ブロックして、これらのプロトコルがCato経由で到達できないようにします。 これにより、AndroidはUDPベースのDNSに切り替わり、DNS フォワーディングが可能になります。

2。 デバイスは、引き続きネットワーク指定のDNSサーバーにUDP/53経由で到達しようとすることがありますが、CatoはこれにDNSフォワーディングを適用しません。 その場合は、デバイスでプライベートDNSを無効化してください。 Androidデバイスで設定 > ネットワークとインターネット（または同等の項目）に移動し、プライベートDNSをオフにします。