DNS pro VPN na iPhonu: kdo vlastní nastavení, určuje, kde platí

Zadejte adresu privátního resolveru do nastavení Wi-Fi iPhonu a bude fungovat, dokud telefon síť neopustí, což je přesně chvíle, kdy má převzít VPN. To je první past mobilního DNS: místo, kde nastavení zadáte, určuje jeho rozsah a tento rozsah je užší, než většina lidí předpokládá. Než cokoli upravíte, odpovězte na tři otázky o nasazení, protože odpovědi určují, kterého ovládacího prvku se máte dotknout. Berte to jako návrhovou revizi, ne jako hon na nastavení.

Tři otázky, než zadáte adresu resolveru

Za prvé, která jména skutečně vyžadují zvláštní zacházení? Privátní zóna jako corp.example je jmenný prostor, ne jediný hostitel, a odpovědí má být doména, ne jediný záznam. Za druhé, který resolver je pro ni autoritativní a kdo tuto službu vlastní? Za třetí, která cesta činí tento resolver dostupným z telefonu: tunel, směrovaná síť Wi-Fi, nebo něco úplně jiného?

Pokud u některé z těch tří chybí vlastník, zastavte se. Změna DNS provedená bez jmenného prostoru, autoritativního zdroje a dostupné cesty je odhad, který v mobilní síti selže jinak než v kanceláři.

DNS záznam pro Wi-Fi patří této síti Wi-Fi

Ruční konfigurace DNS v iOS se ukládá pro každou síť zvlášť. Platí, dokud je telefon přidružen k danému SSID, a přestává platit, když není, což znamená, že nemůže řídit mobilní provoz ani popsat, co dělá klient VPN. Upravovat ji, abyste opravili aplikaci, která v mobilní síti selhává, znamená měnit nastavení, které selhávající cesta nikdy nečte.

To nečiní DNS pro jednotlivé sítě zbytečným. Pro domácí laboratoř nebo jediné kancelářské SSID je to nejjednodušší způsob, jak dosáhnout interního resolveru, a je poctivý ohledně své hranice.

DNS mechanismus VPN závisí na protokolu a klientovi

Poskytovatel paketového tunelu v iOS může konfigurovat DNS přes Apple API pro nastavení DNS, které tunelu vlastnícímu spojení zpřístupňuje adresy resolverů a párování domén. Nativní konfigurace IKEv2 může přijímat DNS přes konfigurační payload IKE, když ji brána odešle, ale zda daný klient aplikuje to, co přijme, je implementační detail, který musíte ověřit. Klient založený na aplikaci může zcela implementovat vlastní cestu překladu.

To jsou různé integrační body a výsledek jednoho z nich se nestává pravidlem pro všechny iPhony. Podporovaným mechanismem je to, co profil nebo poskytovatel dokumentuje pro používaný protokol.

Rozhodujte podle vlastnictví, ne podle pohodlí

Pokud je zařízení spravované, měl by vlastník profilu doručit nastavení DNS spolu s konfigurací VPN, aby je opětovná registrace obnovila, aniž by si uživatel cokoli pamatoval. Pokud tunel vlastní aplikace poskytovatele, jejím místem pro kontrolu je obrazovka nastavení a její dokumentace je autoritou v tom, co může rozdělit. Pokud je telefon osobní a potřebou je jedno interní jméno v jedné síti, je nastavení pro jednotlivou síť přiměřené.

Pravidlo rozhodování je krátké: nastavení patří tam, kde je spojení zřizováno. Kdekoli jinde je to místní výjimka, kterou další změna sítě vymaže.

Ověřujte na cestách, které telefon skutečně používá

Vyzkoušejte nový požadavek z aplikace, která privátní jméno potřebuje, na Wi-Fi v kanceláři, v mobilní síti a při přechodu mezi nimi. Aplikace s vlastní integrací resolveru může jít jinou cestou než systém, proto testujte skutečnou aplikaci, ne kartu prohlížeče, která náhodou funguje.

Když privátní jméno selže, uchovejte přesný text chyby a stav profilu. Veřejný resolver, který odpoví, že jméno neexistuje, dává správnou odpověď na špatnou otázku, a přidat jej vedle firemního resolveru není návrh jmenného prostoru.

Nakonec uložte ověřenou zásadu spolu se zdrojem zřízení. Příští opětovné připojení nebo registrace by měly obnovit stejnou službu jmen, protože to profil řekl, ne protože si někdo vzpomněl na úpravu provedenou na jednom hotspotu před dvěma lety.