WireGuard DNS على iPhone: النطاق مجرد لاحقة بحث

تكتب سطرًا واحدًا يحوي عنوان مُحلِّل ونطاق شركة، وتتوقع أن تستخدم أسماء ذلك النطاق فقط مُحلِّل النفق. على عميل Apple، تذهب كل الأسماء الآن إلى هناك، وتُحلّ الأسماء القصيرة في النطاق أيضًا. يفعل السطر شيئين منفصلين، وواحد فقط منهما يتعلق بالاستعلامات التي يعالجها النفق. الآخر هو تسهيل كتابة ارتقى إلى سياسة بقراءة مبنية على التمني.

ما الذي يُحلَّل إليه سطر DNS

يقرأ العميل المُدخل كقائمة ويصنّف كل عنصر بحسب شكله. أي شيء يشبه العنوان يصبح خادم DNS؛ وأي شيء يشبه النطاق يصبح لاحقة بحث. ينتهي الاثنان في إعدادات النفق، لكن في حقلين مختلفين. يبدو السطر التوضيحي لنفق يحمل مُحلِّلًا خاصًا ونطاقًا داخليًا واحدًا هكذا.

DNS = 10.24.8.53, lab.internal.example

العنوان يوفّر المُحلِّل. النطاق يوفّر لاحقة تتيح للعميل كتابة اسم قصير ثم يُلحق النظام الباقي قبل السؤال. لا يقول أي من العنصرين شيئًا عن حصر المُحلِّل في ذلك النطاق، وهو الجزء الذي يتوقعه الناس ولا يحصلون عليه. حقل واحد فقط في المنصة يمكنه التعبير عن ذلك القيد، وهو ليس هذا الحقل.

حقلان في Apple، ومهمتان مختلفتان

يكشف Apple عن هذا التمييز في كائن إعدادات DNS. قائمة نطاقات البحث موثّقة بأنها القائمة المستخدمة لتأهيل أسماء المضيفين أحادية التسمية: اكتب اسم مضيف مجردًا وقد يضيف النظام كل لاحقة بدورها. هذه قاعدة إكمال، لا قاعدة توجيه. لا شيء في تلك القائمة يحدد أي خادم يُسأل.

قائمة نطاقات المطابقة خاصية مختلفة. تحدد أي مساحات أسماء تستخدم مجموعة إعدادات DNS هذه، والمدخل الفارغ يعني النطاق الافتراضي لا لاحقة محددة. مولّد إعدادات نفق الحزم في عميل Apple يتبع هذا النموذج. يضع لواحق البحث المُحلَّلة في قائمة البحث، وعند وجود خوادم يضبط قائمة المطابقة على السلسلة الفارغة. النتيجة مُحلِّل نفق يجيب عن كل ما يرسله إليه النظام، إضافة إلى لاحقة تساعد في الأسماء القصيرة.

لذا فإن نطاقًا في ذلك السطر ليس محددًا لمساحة الأسماء. إضافة نطاق آخر لا تضيّق الاستعلامات التي يستخدمها النفق، وإزالته لا توسّعها أيضًا. الشيء الوحيد الذي يتغير هو عدد الأسماء القصيرة التي تُكمل.

لماذا يظل كل اسم يصل إلى مُحلِّل النفق

مع المدخل الفارغ للمطابقة، يكون النفق مُحلِّلًا مرشحًا للأسماء العادية، وليس لنطاق الشركة فقط. في إعداد نفق كامل نادرًا ما يهم هذا، لأن كل حركة المرور داخل النفق على أي حال. في نفق منقسم يهم هذا كثيرًا. قد تُحلّ الأسماء العامة الآن بواسطة مُحلِّل لا يحتفظ إلا بمنطقة خاصة، ويبدو الفشل كأنه VPN معطوب بينما هو في الحقيقة مُحلِّل لا يجيب إلا عن جزء من مساحة الأسماء. النفق سليم، والاستعلامات تخرج، والأجوبة تعود فارغة.

يتوافر إصلاحان، وهما قراران مختلفان. اجعل مُحلِّل النفق مُحلِّلًا كاملًا يمرّر الأسماء العامة عبر المسار المعتمد، أو توقف عن إرسال الأسماء العامة إليه بتغيير إعدادات العميل بدلًا من قائمة النطاقات. الأول يبقي كل استعلام على النفق ويثق في المصدر الأعلى. الثاني يبقي بعض الاستعلامات محلية ويقبل أن تتوقف الأسماء الخاصة عن الحل ما دام النفق معطلًا.

ما الذي يحتاجه DNS المنقسم فعليًا

سياسة مُحلِّل محددة النطاق تتطلب عميلًا يتيح لك التعبير عنها: مطابقة النطاقات على منصات Apple، أو إعداد مكافئ في المنتج الذي تستخدمه. حقل إعدادات لا يقبل إلا الخوادم واللواحق لا يمكنه التعبير عنها، مهما كانت علامات الترقيم. يستطيع ملف تعريف أن يحمل السياسة لأنه يصف إعدادًا مُدارًا لا تلميحًا وقت الاتصال. يمكنه تسمية النطاق والخوادم وما ينبغي أن يحدث عندما يكون ذلك النطاق غير قابل للوصول. هذا هو الفرق بين إعداد وعقد.

على أجهزة Apple المُدارة يُسلَّم هذا عادةً عبر ملف تعريف إعداد يحمل إعدادات DNS الخاصة بالنطاق. هذه آلية مختلفة عن ملف إعداد WireGuard، ولا يمكن للاثنين التعايش إلا إذا احترم العميل ملف التعريف. تحقق مما يسميه عميلك الحقل فعليًا قبل افتراض أن المنتجين يتصرفان بالطريقة نفسها. سكربت wg-quick على Mac وتطبيق WireGuard على iPhone يقرآن سطورًا متشابهة ويثبّتانها عبر طبقات مختلفة.

اقرأ الإعدادات المثبتة، لا ملف الإعداد

على Mac يمكنك فحص ما انتهى إليه النظام، وهو أكثر إفادة من إعادة قراءة الملف الذي كتبته. تُظهر قائمة المُحلِّلات أي خوادم مُهيأة لأي نطاقات، وتُظهر الاستعلامات المقيّدة أيها فاز. العميل الذي يشوّه السطر يُظهر ذلك هنا بدلًا من الملف الذي كتبته. على iOS لا يوجد سطر أوامر مكافئ، لذا الدليل هناك نتيجة: اسم خاص يُحلّ عبر النفق، واسم عام يكشف جوابه أي مُحلِّل ردّ.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

يطبع هذان الأمران إعداد المُحلِّل الحالي وخوادم DNS للخدمة النشطة. إذا ظهر مُحلِّل النفق كمُحلِّل افتراضي بلا قيد نطاق، فإن الإعداد يفعل بالضبط ما طلبه العميل. أصلح ذلك بتغيير الآلية، لا بإضافة لاحقة ثانية والأمل في أن يتغير السلوك.