DNS del VPN a l'iPhone: qui és propietari del paràmetre decideix on s'aplica

Escriviu una adreça de resolutor privat als paràmetres de Wi-Fi d'un iPhone i funcionarà fins que el telèfon surti d'aquella xarxa, que és exactament quan un VPN ha de prendre el relleu. Aquesta és la primera trampa del DNS mòbil: el lloc on heu introduït el paràmetre defineix el seu abast, i l'abast és més estret del que la majoria de la gent suposa. Abans d'editar res, responeu tres preguntes sobre el desplegament, perquè les respostes decideixen quina part de control heu de tocar. Tracteu la seqüència com una revisió de disseny i no com una cerca de paràmetres.

Tres preguntes abans d'escriure una adreça de resolutor

Primer, quins noms necessiten realment un tractament especial? Una zona privada com corp.example és un espai de noms, no un sol amfitrió, i la resposta hauria de ser un domini i no un sol registre. Segon, quin resolutor és autoritatiu per a ella, i qui és propietari d'aquest servei? Tercer, quin camí fa que aquest resolutor sigui abastable des del telèfon: el túnel, una xarxa Wi-Fi encaminada o una altra cosa completament diferent?

Si algun d'aquests tres no té propietari, atureu-vos. Un canvi de DNS fet sense un espai de noms, una font autoritativa i un camí abastable és una suposició que fallarà de manera diferent a la xarxa mòbil que a l'oficina.

Una entrada DNS de Wi-Fi pertany a aquella xarxa Wi-Fi

La configuració manual de DNS a l'iOS s'emmagatzema per xarxa. S'aplica mentre el telèfon està associat a aquell SSID i deixa d'aplicar-se quan no ho està, cosa que significa que no pot governar el trànsit mòbil ni descriure què fa un client VPN. Editar-la per arreglar una aplicació que falla a la xarxa mòbil és canviar un paràmetre que el camí que falla mai no llegeix.

Això no fa inútil el DNS per xarxa. Per a un laboratori domèstic o un sol SSID d'oficina, és la manera més senzilla d'arribar a un resolutor intern, i és honest sobre la seva frontera.

El mecanisme DNS del VPN depèn del protocol i del client

Un proveïdor de túnel de paquets a l'iOS pot configurar el DNS mitjançant l'API de paràmetres DNS d'Apple, que exposa adreces de resolutor i coincidència de dominis al túnel que posseeix la connexió. Una configuració IKEv2 nativa pot rebre DNS mitjançant la càrrega de configuració IKE quan la passa la passarel·la, però si un client determinat aplica el que rep és un detall d'implementació que heu de verificar. Un client basat en aplicació pot implementar completament el seu propi camí de resolució.

Són punts d'integració diferents, i el resultat d'un d'ells no es converteix en una regla per a tots els iPhones. El mecanisme suportat és el que el perfil o el proveïdor documenta per al protocol que s'utilitza.

Decidiu per propietat, no per comoditat

Si el dispositiu està gestionat, el propietari del perfil hauria de lliurar el paràmetre DNS amb la configuració del VPN, de manera que una reinscripció el restauri sense que l'usuari recordi res. Si una aplicació de proveïdor posseeix el túnel, la seva pantalla de paràmetres és el lloc on mirar, i la seva documentació és l'autoritat sobre què pot separar. Si el telèfon és personal i la necessitat és un nom intern en una xarxa, el paràmetre per xarxa és proporcionat.

La regla de decisió és curta: el paràmetre pertany allà on s'aprovisiona la connexió. A qualsevol altre lloc, és una excepció local que el proper canvi de xarxa esborrarà.

Verifiqueu als camins que el telèfon fa servir realment

Proveu una petició nova des de l'aplicació que necessita el nom privat, al Wi-Fi de l'oficina, a la xarxa mòbil i en una transició entre totes dues. Una aplicació amb la seva pròpia integració de resolutor pot prendre un camí diferent del sistema, així que proveu l'aplicació real i no una pestanya del navegador que funciona per casualitat.

Quan el nom privat falla, guardeu l'error exacte i l'estat del perfil. Un resolutor públic que respon que el nom no existeix dona una resposta correcta a la pregunta equivocada, i afegir-lo al costat del resolutor de l'empresa no és un disseny d'espai de noms.

Finalment, guardeu la política verificada amb la font d'aprovisionament. La propera reconnexió o inscripció hauria de restaurar el mateix servei de noms perquè el perfil ho va dir, no perquè algú va recordar una edició feta en un punt d'accés fa dos anys.