DNS для VPN на iPhone: хто валодае наладай, той вызначае, дзе яна дзейнічае

Увядзіце адрас прыватнага рэзалвера ў налады Wi-Fi на iPhone, і ён будзе працаваць, пакуль тэлефон не пакіне гэтую сетку, а менавіта тады VPN і павінен узяць кіраванне. Гэта першая пастка мабільнага DNS: месца, дзе вы ўвялі наладу, вызначае яе межы, і гэтыя межы вузейшыя, чым звычайна думаюць. Перш чым нешта змяняць, адкажыце на тры пытанні пра разгортванне, бо адказы вызначаюць, які орган кіравання вам трэба чапаць. Разглядайце паслядоўнасць як праектны агляд, а не як пошук налад.

Тры пытанні, перш чым увесці адрас рэзалвера

Па-першае, якія імёны сапраўды патрабуюць асаблівай апрацоўкі? Прыватная зона, такая як corp.example, — гэта прастора імёнаў, а не адзіны хост, і адказам павінен быць дамен, а не адзін запіс. Па-другое, які рэзалвер з'яўляецца аўтарытэтным для яе, і хто валодае гэтым сэрвісам? Па-трэцяе, які шлях робіць гэты рэзалвер дасяжным з тэлефона: тунель, маршрутызаваная сетка Wi-Fi ці нешта зусім іншае?

Калі ў любога з гэтых трох няма ўладальніка, спыніцеся. Змена DNS, зробленая без прасторы імёнаў, аўтарытэтнай крыніцы і дасяжнага шляху, — гэта здагадка, якая ў мабільнай сетцы праваліцца інакш, чым у офісе.

Запіс DNS для Wi-Fi належыць гэтай сетцы Wi-Fi

Ручная канфігурацыя DNS на iOS захоўваецца для кожнай сеткі асобна. Яна дзейнічае, пакуль тэлефон звязаны з гэтым SSID, і спыняе дзеянне, калі не, а значыць, яна не можа кіраваць мабільным трафікам або апісваць, што робіць кліент VPN. Правіць яе, каб выправіць праграму, якая збаіць у мабільнай сетцы, — гэта змена налады, якую шлях збою ніколі не чытае.

Гэта не робіць DNS для кожнай сеткі бескарысным. Для хатняй лабараторыі або адзінага офіснага SSID гэта самы просты спосаб дасягнуць унутранага рэзалвера, і ён сумленны адносна сваёй мяжы.

Механізм DNS у VPN залежыць ад пратакола і кліента

Пастаўшчык пакетнага тунеля на iOS можа наладзіць DNS праз API налад DNS ад Apple, які падае адрасы рэзалвера і супастаўленне даменаў тунелю, што валодае злучэннем. Натыўная канфігурацыя IKEv2 можа атрымаць DNS праз карысную нагрузку канфігурацыі IKE, калі шлюз яе штурхае, але ці прымяніць пэўны кліент атрыманае — гэта дэталь рэалізацыі, якую трэба праверыць. Кліент на аснове праграмы можа цалкам рэалізаваць уласны шлях развязання.

Гэта розныя пункты інтэграцыі, і вынік аднаго з іх не становіцца правілам для ўсіх iPhone. Падтрыманы механізм — гэта тое, што профіль або пастаўшчык дакументуе для пратакола, які выкарыстоўваецца.

Вырашайце па ўласнасці, а не па зручнасці

Калі прылада кіруемая, уладальнік профілю павінен даставіць наладу DNS разам з канфігурацыяй VPN, каб паўторная рэгістрацыя аднаўляла яе без таго, каб карыстальнік нешта памятаў. Калі тунелем валодае праграма пастаўшчыка, яе экран налад — тое месца, дзе трэба глядзець, а яе дакументацыя — аўтарытэт у пытанні, што яна можа раздзяляць. Калі тэлефон асабісты і патрэба — адно ўнутранае імя ў адной сетцы, налада для кожнай сеткі суразмерная.

Правіла рашэння кароткае: налада належыць туды, дзе забяспечваецца злучэнне. У любым іншым месцы гэта лакальнае выключэнне, якое наступная змена сеткі знішчыць.

Правярайце на шляхах, якія тэлефон сапраўды выкарыстоўвае

Праверце новы запыт з праграмы, якой патрэбна прыватнае імя, у Wi-Fi у офісе, у мабільнай сетцы і пры пераходзе паміж імі. Праграма з уласнай інтэграцыяй рэзалвера можа ісці іншым шляхам, чым сістэма, таму правярайце саму праграму, а не ўкладку браўзера, якая выпадкова працуе.

Калі прыватнае імя не працуе, захавайце дакладны тэкст памылкі і стан профілю. Публічны рэзалвер, які адказвае, што імя не існуе, дае правільны адказ на няправільнае пытанне, і дадаць яго побач з карпаратыўным рэзалверам — не дызайн прасторы імёнаў.

Нарэшце, захоўвайце правераную палітыку разам з крыніцай забеспячэння. Наступнае перападключэнне або рэгістрацыя павінны аднавіць тую ж службу імёнаў, бо так сказаў профіль, а не таму, што хтосьці ўспомніў пра праўку, зробленую ў адной кропцы доступу два гады таму.