DNS del VPN en iPhone: quién es dueño del ajuste decide dónde se aplica

Escriba una dirección de resolutor privado en los ajustes de Wi-Fi de un iPhone y funcionará hasta que el teléfono abandone esa red, que es exactamente cuando un VPN debe tomar el control. Esa es la primera trampa del DNS móvil: el lugar donde introdujo el ajuste define su alcance, y el alcance es más estrecho de lo que la mayoría supone. Antes de editar nada, responda tres preguntas sobre el despliegue, porque las respuestas deciden qué control debería tocar. Trate la secuencia como una revisión de diseño y no como una búsqueda de ajustes.

Tres preguntas antes de escribir una dirección de resolutor

Primero, ¿qué nombres necesitan realmente un trato especial? Una zona privada como corp.example es un espacio de nombres, no un solo host, y la respuesta debería ser un dominio y no un solo registro. Segundo, ¿qué resolutor es autoritativo para ella y quién es dueño de ese servicio? Tercero, ¿qué ruta hace que ese resolutor sea alcanzable desde el teléfono: el túnel, una red Wi-Fi enrutada o algo completamente distinto?

Si alguno de esos tres no tiene dueño, deténgase. Un cambio de DNS hecho sin un espacio de nombres, una fuente autoritativa y una ruta alcanzable es una suposición que fallará de forma distinta en la red móvil que en la oficina.

Una entrada DNS de Wi-Fi pertenece a esa red Wi-Fi

La configuración manual de DNS en iOS se guarda por red. Se aplica mientras el teléfono está asociado a ese SSID y deja de aplicarse cuando no lo está, lo que significa que no puede gobernar el tráfico móvil ni describir qué hace un cliente VPN. Editarla para arreglar una aplicación que falla en la red móvil es cambiar un ajuste que la ruta que falla nunca lee.

Eso no hace inútil el DNS por red. Para un laboratorio doméstico o un único SSID de oficina, es la forma más sencilla de llegar a un resolutor interno, y es honesto sobre su frontera.

El mecanismo DNS del VPN sigue al protocolo y al cliente

Un proveedor de túnel de paquetes en iOS puede configurar DNS mediante la API de ajustes DNS de Apple, que expone direcciones de resolutor y coincidencia de dominios al túnel que posee la conexión. Una configuración IKEv2 nativa puede recibir DNS mediante la carga de configuración IKE cuando la puerta de enlace la envía, pero si un cliente determinado aplica lo que recibe es un detalle de implementación que debe verificar. Un cliente basado en aplicación puede implementar por completo su propia ruta de resolución.

Son puntos de integración distintos, y el resultado de uno de ellos no se convierte en regla para todos los iPhone. El mecanismo admitido es lo que el perfil o el proveedor documenta para el protocolo en uso.

Decida por propiedad, no por comodidad

Si el dispositivo está gestionado, el dueño del perfil debería entregar el ajuste DNS junto con la configuración del VPN, de modo que una reinscripción lo restaure sin que el usuario recuerde nada. Si una aplicación del proveedor posee el túnel, su pantalla de ajustes es el lugar donde mirar, y su documentación es la autoridad sobre qué puede separar. Si el teléfono es personal y la necesidad es un nombre interno en una red, el ajuste por red es proporcionado.

La regla de decisión es corta: el ajuste pertenece a donde se aprovisiona la conexión. En cualquier otro lugar, es una excepción local que el próximo cambio de red borrará.

Verifique en las rutas que el teléfono usa realmente

Pruebe una solicitud nueva desde la aplicación que necesita el nombre privado, en el Wi-Fi de la oficina, en la red móvil y en una transición entre ambas. Una aplicación con su propia integración de resolutor puede tomar una ruta distinta de la del sistema, así que pruebe la aplicación real y no una pestaña del navegador que funciona por casualidad.

Cuando el nombre privado falla, guarde el error exacto y el estado del perfil. Un resolutor público que responde que el nombre no existe da una respuesta correcta a la pregunta equivocada, y añadirlo junto al resolutor de la empresa no es un diseño de espacio de nombres.

Por último, guarde la política verificada junto con la fuente de aprovisionamiento. La próxima reconexión o inscripción debería restaurar el mismo servicio de nombres porque el perfil lo dijo, no porque alguien recordara una edición hecha en un punto de acceso hace dos años.