DNS-Profil oder VPN-Profil unter iOS: Welches haben Sie?

Jemand schickt Ihnen ein iPhone-Profil mit beruhigendem Namen, es lässt sich mit zwei Tipps installieren, und interne Namen werden plötzlich aufgelöst. Ob der Datenverkehr auch durch einen Tunnel läuft, ist eine separate Frage, und der angezeigte Name beantwortet sie nicht. Ein Profil kann mehrere Nutzlasten tragen, deshalb ist der einzig verlässliche Schritt, es zu öffnen und zu lesen, was jede Nutzlast konfiguriert. Die Liste ist kurz, die Namen der Nutzlasten sind langweilig, und die Antwort ist meist offensichtlich, sobald man sie gesehen hat. Genau das Raten anhand des Titels führt dazu, dass Menschen glauben, ihr Verkehr laufe durch einen Tunnel, während nur ihre Abfragen es tun.

Öffnen Sie die Nutzlastliste, nicht die Kopfzeile

Unter iOS liegt die Profilliste unter Einstellungen, Allgemein, VPN und Geräteverwaltung, und jeder Eintrag öffnet eine Bestandsliste der Nutzlasten statt eines einzelnen Schalters. Lesen Sie diese Bestandsliste: eine Nutzlast mit DNS-Einstellungen, eine VPN-Nutzlast, eine Proxy-Nutzlast, Zertifikate, Wi-Fi. Ein Profil, das nur DNS-Einstellungen trägt, ist kein Tunnel, wie sein Name auch klingt, und eines, das beides trägt, erledigt zwei verschiedene Aufgaben gleichzeitig. Die Bestandsliste ist die technische Aussage, und die Kopfzeile ist Marketing.

Drei Fragen machen aus der Bestandsliste eine Entscheidung. Ändert sich die Namensauflösung, ändert sich die öffentliche Quelladresse, und welche Anwendungen deckt jeder Effekt ab? Eine DNS-Nutzlast beantwortet die erste, eine VPN-Nutzlast meist die zweite und dritte, und alles, was beides behauptet, muss zwei Nutzlasten oder eine dokumentierte Erweiterung zeigen.

Was eine DNS-Nutzlast tatsächlich ändert

Eine DNS-Nutzlast ändert, wie Namen innerhalb ihres konfigurierten Bereichs aufgelöst werden, was einen bestimmten Resolver, einen verschlüsselten Transport wie DNS over HTTPS oder eine begrenzte Menge von Domains bedeuten kann. Was sie normalerweise nicht ändert, ist die öffentliche Quelladresse Ihrer Verbindungen, sodass Websites weiterhin das Netzwerk sehen, in dem Sie sind. Auflösung und Routing sind getrennte Mechanismen, und nur einer von beiden hat sich bewegt. Deshalb kann ein interner Name korrekt aufgelöst werden, während die Seite dahinter sich weigert zu laden.

Eine DNS-Nutzlast bringt außerdem eine Partei ins Spiel, die Ihre Abfragen erhält, und wenn der Resolver-Betreiber nicht der Netzbetreiber ist, ist das ein neuer Teilnehmer auf dem Pfad. Merken Sie sich das, denn es ändert, wer sehen kann, nach welchen Namen Sie fragen. Von sich aus verbirgt sie nicht die Zieladressen, zu denen Sie sich danach verbinden.

Was eine VPN-Nutzlast tatsächlich ändert

Eine VPN-Nutzlast richtet einen Tunnel und eine Routing-Richtlinie ein, und je nach Konfiguration kann sie den gesamten Verkehr, nur gelistete Ziele oder nur gelistete Anwendungen erfassen. Ausnahmen zählen so viel wie Einschlüsse, denn ein Volltunnelprofil mit zwei ausgenommenen Domains verhält sich keineswegs so, wie der Name vermuten lässt. VPN pro App kann den Browser vollständig außerhalb des Tunnels lassen, während das Abzeichen in der Statusleiste verbunden meldet. Lesen Sie die Listen der eingeschlossenen und ausgenommenen Einträge, bevor Sie einem der beiden Wörter trauen.

Die Quelladresse ändert sich hier tatsächlich, zumindest für den Verkehr, den der Tunnel erfasst, und das ist der praktische Unterschied, nach dem die meisten eigentlich fragen. Alles andere ist ein Detail dazu, welcher Verkehr gemeint ist.

Wo Apps mit Network Extension das Etikett verwischen

Eine App kann ihre eigene Network Extension installieren, deren Verhalten die Profilliste nicht erkennbar beschreibt, sodass Marketingname und Statusanzeige kein Bestand sind. Öffnen Sie den eigenen Konfigurationsbildschirm der App neben den Nutzlasten des Profils und vergleichen Sie beide. Ein als Schutz bezeichneter Schalter ändert womöglich nur die Auflösung, und ein als private DNS bezeichneter Schalter womöglich nur den Resolver. Wo die beiden Quellen nicht übereinstimmen, glauben Sie der Nutzlastliste und notieren Sie den Unterschied.

Deshalb kann eine App einen Schnelltest in einem Netzwerk bestehen und an einem Captive Portal scheitern, wo die Auflösung funktioniert und das Routing nicht. Die beiden Mechanismen waren nie dasselbe.

Das richtige Objekt entfernen und danach die Namen prüfen

Entfernen Sie eine Konfiguration über die App oder den Verwaltungsdienst, der sie installiert hat, und nutzen Sie Apples dokumentierte Entfernungsschritte, statt gefundene Dateien zu löschen. Das Löschen eines Profils kann zugehörige Einstellungen und Daten mitnehmen, und ein verwaltetes Profil kann sich weigern zu gehen, bis die Verwaltungsseite es freigibt. Das Entfernen einer einzelnen DNS-Nutzlast sollte niemals erfordern, eine unabhängige VPN-Identität zu zerstören, auf die das Gerät noch angewiesen ist. Trennen Sie die Objekte, bevor Sie irgendetwas löschen, und entfernen Sie dann nur dasjenige, dem das Verhalten gehört, das Sie stoppen wollen.

Prüfen Sie danach die privaten Namen, von denen Ihre Arbeit abhängt, denn eine Unternehmens-App kann auf einen Resolver angewiesen sein, von dem öffentliches DNS nie gehört hat. Ein solcher Fehler zeigt sich meist als Anwendungsfehler und nicht als DNS-Fehler, weshalb er falsch diagnostiziert wird. Testen Sie einen internen und einen öffentlichen Namen aus derselben App, und die Antwort sagt Ihnen, welches Objekt Sie tatsächlich entfernt haben.