DNS за VPN на iPhone: кой притежава настройката решава къде се прилага

Въведете адрес на частен резолвер в настройките за Wi-Fi на iPhone и той ще работи, докато телефонът напусне тази мрежа, а точно тогава VPN трябва да поеме. Това е първият капан в мобилния DNS: мястото, където сте въвели настройката, определя обхвата ѝ, а обхватът е по-тесен, отколкото повечето хора предполагат. Преди да редактирате каквото и да е, отговорете на три въпроса за внедряването, защото отговорите решават кой контрол трябва да пипате. Третирайте последователността като преглед на дизайна, а не като лов на настройки.

Три въпроса, преди да въведете адрес на резолвер

Първо, кои имена всъщност се нуждаят от специална обработка? Частна зона като corp.example е пространство от имена, а не един хост, и отговорът трябва да е домейн, а не един запис. Второ, кой резолвер е авторитетен за нея и кой притежава тази услуга? Трето, кой път прави този резолвер достъпен от телефона: тунелът, маршрутизирана Wi-Fi мрежа или нещо съвсем друго?

Ако някое от тези три няма собственик, спрете. Промяна на DNS, направена без пространство от имена, авторитетен източник и достъпен път, е догадка, която ще се провали различно в мобилната мрежа, отколкото в офиса.

DNS записът за Wi-Fi принадлежи на тази Wi-Fi мрежа

Ръчната конфигурация на DNS в iOS се съхранява за всяка мрежа поотделно. Тя се прилага, докато телефонът е свързан с този SSID, и спира да се прилага, когато не е, което означава, че не може да управлява мобилния трафик или да описва какво прави VPN клиентът. Редактирането ѝ, за да поправите приложение, което се проваля в мобилната мрежа, е промяна на настройка, която проблемният път никога не чете.

Това не прави DNS за всяка мрежа безполезен. За домашна лаборатория или един офис SSID това е най-простият начин да достигнете вътрешен резолвер и е честен за границата си.

DNS механизмът на VPN следва протокола и клиента

Доставчик на пакетен тунел в iOS може да конфигурира DNS чрез API за DNS настройки на Apple, който предоставя адреси на резолвери и съвпадение на домейни на тунела, който притежава връзката. Нативна IKEv2 конфигурация може да получи DNS чрез полезния товар на IKE конфигурацията, когато шлюзът го изпрати, но дали даден клиент прилага полученото е детайл от реализацията, който трябва да проверите. Клиент под формата на приложение може напълно да реализира свой собствен път за резолюция.

Това са различни точки на интеграция и резултат от една от тях не става правило за всички iPhone. Поддържаният механизъм е това, което профилът или доставчикът документира за използвания протокол.

Решавайте по собственост, не по удобство

Ако устройството е управлявано, собственикът на профила трябва да достави DNS настройката с VPN конфигурацията, така че повторното записване да я възстанови, без потребителят да помни нищо. Ако приложение на доставчик притежава тунела, екранът му с настройки е мястото за проверка, а документацията му е авторитетът за това какво може да разделя. Ако телефонът е личен и нуждата е едно вътрешно име в една мрежа, настройката за мрежа е съразмерна.

Правилото за решение е кратко: настройката принадлежи там, където се осигурява връзката. Навсякъде другаде тя е локално изключение, което следващата промяна на мрежата ще изтрие.

Проверявайте по пътищата, които телефонът наистина използва

Тествайте нова заявка от приложението, което се нуждае от частното име, в Wi-Fi в офиса, в мобилната мрежа и при преход между тях. Приложение със собствена интеграция на резолвер може да поеме различен път от системата, затова тествайте самото приложение, а не раздел в браузър, който случайно работи.

Когато частното име се провали, запазете точния текст на грешката и състоянието на профила. Публичен резолвер, който отговаря, че името не съществува, дава верен отговор на грешен въпрос, а добавянето му до корпоративния резолвер не е дизайн на пространство от имена.

Накрая, съхранявайте проверената политика заедно с източника на осигуряване. Следващото повторно свързване или записване трябва да възстанови същата услуга за имена, защото профилът така е казал, а не защото някой е запомнил редакция, направена в една точка за достъп преди две години.