Profil DNS ou profil VPN sous iOS : lequel avez-vous ?

Quelqu'un vous envoie un profil iPhone au nom rassurant, il s'installe en deux tapes, et les noms internes commencent à se résoudre. Savoir si le trafic passe aussi par un tunnel est une autre question, et le nom affiché n'y répond pas. Un profil peut porter plusieurs charges utiles, donc le seul geste fiable est de l'ouvrir et de lire ce que chaque charge configure. La liste est courte, les noms des charges sont ternes, et la réponse est généralement évidente dès qu'on les a vus. C'est en devinant à partir du titre que les gens finissent par croire que leur trafic passe par un tunnel alors que seules leurs requêtes le font.

Ouvrez la liste des charges, pas l'en-tête

Sous iOS, la liste des profils se trouve dans Réglages, Général, VPN et Gestion de l'appareil, et chaque entrée ouvre un inventaire des charges plutôt qu'un simple interrupteur. Lisez cet inventaire : une charge de réglages DNS, une charge VPN, une charge de proxy, des certificats, le Wi-Fi. Un profil qui ne porte que des réglages DNS n'est pas un tunnel, quoi qu'en dise son nom, et celui qui porte les deux fait deux travaux différents à la fois. L'inventaire est l'affirmation technique, et l'en-tête est du marketing.

Trois questions transforment l'inventaire en décision. La résolution de noms change-t-elle, l'adresse source publique change-t-elle, et quelles applications chaque effet couvre-t-il ? Une charge DNS répond à la première, une charge VPN généralement à la deuxième et à la troisième, et tout ce qui revendique les deux doit montrer deux charges ou une extension documentée.

Ce qu'une charge DNS change vraiment

Une charge DNS change la façon dont les noms sont résolus dans sa portée configurée, ce qui peut signifier un résolveur précis, un transport chiffré comme DNS over HTTPS ou un ensemble restreint de domaines. Ce qu'elle ne change normalement pas, c'est l'adresse source publique de vos connexions, donc les sites voient toujours le réseau sur lequel vous êtes. La résolution et le routage sont des mécanismes distincts, et un seul des deux a bougé. C'est pourquoi un nom interne peut se résoudre correctement alors que la page derrière refuse de charger.

Une charge DNS introduit aussi une partie qui reçoit vos requêtes, et si l'exploitant du résolveur n'est pas l'exploitant du réseau, c'est un nouveau participant sur le chemin. Notez-le, car cela change qui peut voir quels noms vous demandez. À elle seule, elle ne masque pas les adresses de destination auxquelles vous vous connectez ensuite.

Ce qu'une charge VPN change vraiment

Une charge VPN établit un tunnel et une politique de routage, et selon sa configuration elle peut capturer tout le trafic, seulement les destinations listées ou seulement les applications listées. Les exclusions comptent autant que les inclusions, car un profil de tunnel complet avec deux domaines exclus ne se comporte pas du tout comme son nom le suggère. Un VPN par application peut laisser le navigateur entièrement hors du tunnel alors que le badge de la barre d'état indique connecté. Lisez les listes des éléments inclus et exclus avant de croire l'un ou l'autre de ces mots.

L'adresse source change bien ici, au moins pour le trafic que le tunnel capture, et c'est la distinction pratique que la plupart des gens posent réellement. Tout le reste est un détail sur le trafic concerné.

Où les apps avec Network Extension brouillent l'étiquette

Une app peut installer sa propre Network Extension dont le comportement n'est pas clairement décrit par la liste des profils, donc le nom commercial et l'indicateur de la barre d'état ne sont pas un inventaire. Ouvrez l'écran de configuration de l'app à côté des charges du profil et comparez les deux. Un interrupteur étiqueté protection ne change peut-être que la résolution, et un interrupteur étiqueté private DNS peut-être que le résolveur. Là où les deux sources divergent, croyez la liste des charges et notez la différence.

C'est aussi pourquoi une app peut réussir un test rapide sur un réseau et échouer sur un portail captif, où la résolution fonctionne et le routage non. Les deux mécanismes n'ont jamais été la même chose.

Retirer le bon objet, et vérifier les noms ensuite

Retirez une configuration via l'app ou le service de gestion qui l'a installée, en suivant les étapes de suppression documentées par Apple plutôt qu'en supprimant des fichiers que vous avez trouvés. Supprimer un profil peut emporter des réglages et des données associés, et un profil géré peut refuser de partir tant que le côté gestion ne le libère pas. Retirer une seule charge DNS ne devrait jamais exiger de détruire une identité VPN sans rapport dont l'appareil dépend encore. Séparez les objets avant de supprimer quoi que ce soit, puis retirez seulement celui qui possède le comportement que vous cherchez à arrêter.

Ensuite, vérifiez les noms privés dont dépend votre travail, car une app d'entreprise peut s'appuyer sur un résolveur dont le DNS public n'a jamais entendu parler. Cette panne se manifeste généralement comme une erreur de l'application et non comme une erreur DNS, et c'est pourquoi elle est mal diagnostiquée. Testez un nom interne et un nom public depuis la même app, et la réponse vous dira quel objet vous avez réellement retiré.