VPN-DNS auf dem iPhone: Wer die Einstellung besitzt, entscheidet, wo sie gilt

Tragen Sie eine private Resolver-Adresse in den Wi-Fi-Einstellungen eines iPhone ein, funktioniert sie, bis das Telefon dieses Netz verlässt – genau der Moment, in dem ein VPN übernehmen soll. Das ist die erste Falle im mobilen DNS: Der Ort, an dem Sie die Einstellung eingegeben haben, definiert ihre Reichweite, und diese Reichweite ist enger, als die meisten annehmen. Beantworten Sie vor jeder Änderung drei Fragen zur Bereitstellung, denn die Antworten bestimmen, welches Steuerelement Sie anfassen sollten. Behandeln Sie die Reihenfolge als Design-Review und nicht als Einstellungssuche.

Drei Fragen, bevor Sie eine Resolver-Adresse eintragen

Erstens: Welche Namen brauchen tatsächlich eine Sonderbehandlung? Eine private Zone wie corp.example ist ein Namensraum, kein einzelner Host, und die Antwort sollte eine Domäne sein, nicht ein einzelner Eintrag. Zweitens: Welcher Resolver ist dafür zuständig, und wem gehört dieser Dienst? Drittens: Welcher Pfad macht diesen Resolver vom Telefon aus erreichbar: der Tunnel, ein geroutetes Wi-Fi-Netz oder etwas völlig anderes?

Wenn eines der drei keinen Eigentümer hat, hören Sie auf. Eine DNS-Änderung ohne Namensraum, autoritative Quelle und erreichbaren Pfad ist eine Vermutung, die im Mobilfunk anders scheitern wird als im Büro.

Ein Wi-Fi-DNS-Eintrag gehört zu diesem Wi-Fi-Netz

Die manuelle DNS-Konfiguration unter iOS wird pro Netz gespeichert. Sie gilt, solange das Telefon mit dieser SSID verbunden ist, und gilt nicht mehr, wenn es das nicht ist, was bedeutet, dass sie weder Mobilfunkverkehr steuern noch beschreiben kann, was ein VPN-Client tut. Sie zu bearbeiten, um eine App zu reparieren, die im Mobilfunk scheitert, ändert eine Einstellung, die der scheiternde Pfad nie liest.

Das macht DNS pro Netz nicht nutzlos. Für ein Heimlabor oder eine einzelne Büro-SSID ist es der einfachste Weg zu einem internen Resolver, und es ist ehrlich über seine Grenze.

Der DNS-Mechanismus des VPN folgt dem Protokoll und dem Client

Ein Packet-Tunnel-Anbieter unter iOS kann DNS über Apples DNS-Einstellungs-API konfigurieren, die Resolver-Adressen und Domain-Matching für den Tunnel bereitstellt, dem die Verbindung gehört. Eine native IKEv2-Konfiguration kann DNS über die IKE-Konfigurationsnutzlast empfangen, wenn das Gateway sie sendet, aber ob ein bestimmter Client das Empfangene anwendet, ist ein Implementierungsdetail, das Sie prüfen müssen. Ein appbasierter Client kann seinen eigenen Auflösungspfad vollständig selbst implementieren.

Das sind unterschiedliche Integrationspunkte, und ein Ergebnis von einem davon wird keine Regel für alle iPhones. Der unterstützte Mechanismus ist das, was das Profil oder der Anbieter für das verwendete Protokoll dokumentiert.

Entscheiden Sie nach Eigentum, nicht nach Bequemlichkeit

Ist das Gerät verwaltet, sollte der Profileigentümer die DNS-Einstellung mit der VPN-Konfiguration ausliefern, sodass eine erneute Registrierung sie wiederherstellt, ohne dass ein Benutzer sich an etwas erinnern muss. Gehört der Tunnel einer Anbieter-App, ist deren Einstellungsbildschirm der Ort zum Nachsehen, und ihre Dokumentation ist die Autorität dafür, was sie aufteilen kann. Ist das Telefon privat und der Bedarf ein interner Name in einem Netz, ist die Einstellung pro Netz angemessen.

Die Entscheidungsregel ist kurz: Die Einstellung gehört dorthin, wo die Verbindung bereitgestellt wird. Überall sonst ist sie eine lokale Ausnahme, die die nächste Netzänderung löschen wird.

Prüfen Sie auf den Pfaden, die das Telefon tatsächlich nutzt

Testen Sie eine frische Anfrage aus der App, die den privaten Namen braucht, im Wi-Fi im Büro, im Mobilfunk und über einen Übergang zwischen beiden. Eine App mit eigener Resolver-Integration kann einen anderen Pfad nehmen als das System, testen Sie also die eigentliche Anwendung statt einen Browser-Tab, der zufällig funktioniert.

Wenn der private Name scheitert, halten Sie den genauen Fehler und den Profilstatus fest. Ein öffentlicher Resolver, der antwortet, der Name existiere nicht, gibt eine korrekte Antwort auf die falsche Frage, und ihn neben den Firmen-Resolver zu setzen ist kein Namensraum-Design.

Speichern Sie die geprüfte Richtlinie schließlich zusammen mit der Bereitstellungsquelle. Die nächste Wiederverbindung oder Registrierung sollte denselben Namensdienst wiederherstellen, weil das Profil es gesagt hat, nicht weil sich jemand an eine Änderung an einem Hotspot vor zwei Jahren erinnert hat.