Perfil DNS de iOS fronte a perfil VPN: cal ten vostede

Alguén envía un perfil de iPhone cun nome tranquilizador, instálase con dous toques e os nomes internos comezan a resolverse. Se o tráfico tamén viaxa por un túnel é unha cuestión aparte, e o nome que se mostra non a responde. Un perfil pode levar varias cargas, así que o único movemento fiable é abrila e ler o que configura cada carga. A lista é curta, os nomes das cargas son aburridos, e a resposta adoita ser obvia unha vez que os viu. Adiviñar polo título é como a xente acaba crendo que o seu tráfico vai por un túnel cando só o van as súas consultas.

Abra a lista de cargas, non o encabezado

En iOS a lista de perfís está en Settings, General, VPN and Device Management, e cada entrada abre nun inventario de cargas en vez de nun único interruptor. Lea ese inventario: unha carga de axustes de DNS, unha carga de VPN, unha carga de proxy, certificados, Wi-Fi. Un perfil que só leva axustes de DNS non é un túnel, diga o que diga o seu nome, e un que leva ambos fai dous traballos distintos á vez. O inventario é a afirmación técnica, e o encabezado é mercadotecnia.

Tres preguntas converten o inventario nunha decisión. Cambia a resolución de nomes, cambia o enderezo de orixe pública, e que aplicacións abrangue cada efecto? Unha carga de DNS responde a primeira, unha carga de VPN adoita responder a segunda e a terceira, e calquera cousa que afirme ambas debería amosar dúas cargas ou unha extensión documentada.

Que cambia realmente unha carga de DNS

Unha carga de DNS cambia como se resolven os nomes dentro do seu ámbito configurado, o que pode significar un resolutor concreto, un transporte cifrado como DNS sobre HTTPS, ou un conxunto restrinxido de dominios. O que normalmente non cambia é o enderezo de orixe pública das súas conexións, así que os sitios web seguen vendo a rede na que está. A resolución e o encamiñamento son mecanismos separados, e só un deles se moveu. Por iso un nome interno pode resolverse correctamente mentres a páxina que hai detrás négase a cargar.

Unha carga de DNS tamén introduce unha parte que recibe as súas consultas, e se o operador do resolutor non é o operador da rede, iso é un participante novo no camiño. Anóteo, porque cambia quen pode ver que nomes pide. Por si só non oculta os enderezos de destino aos que se conecta despois.

Que cambia realmente unha carga de VPN

Unha carga de VPN establece un túnel e unha política de rutas, e segundo como estea configurada pode capturar todo o tráfico, só os destinos listados, ou só as aplicacións listadas. As exclusións importan tanto como as inclusións, xa que un perfil de túnel completo con dous dominios excluídos non se comporta en absoluto como suxire o nome. A VPN por aplicación pode deixar o navegador totalmente fóra do túnel mentres a insignia da barra de estado di conectado. Lea as listas de inclusións e exclusións antes de crer calquera das dúas palabras.

Aquí o enderezo de orixe si cambia, polo menos para o tráfico que captura o túnel, e esa é a distinción práctica que a maioría da xente está a preguntar realmente. Todo o demais son detalles sobre que tráfico.

Onde as aplicacións de Network Extension difuminan a etiqueta

Unha aplicación pode instalar a súa propia Network Extension cuxo comportamento a lista de perfís non describe de forma obvia, así que o nome comercial e o indicador da barra de estado non son un inventario. Abra a pantalla de configuración da propia aplicación xunto ás cargas do perfil e compare as dúas. Un interruptor chamado protección pode só cambiar a resolución, e un interruptor chamado DNS privado pode só cambiar o resolutor. Cando as dúas fontes non coinciden, crea a lista de cargas e anote a diferenza.

Por iso tamén unha aplicación pode pasar unha proba rápida nunha rede e fallar nun portal cativo, onde a resolución funciona e o encamiñamento non. Os dous mecanismos nunca foron o mesmo.

Eliminar o obxecto correcto, e comprobar os nomes despois

Elimine unha configuración a través da aplicación ou do servizo de xestión que a instalou, usando os pasos de eliminación documentados por Apple en vez de borrar ficheiros que atopou. Borrar un perfil pode levar consigo axustes e datos asociados, e un perfil xestionado pode negarse a marchar ata que o lado de xestión o libere. Eliminar unha carga de DNS nunca debería requirir destruír unha identidade VPN allea da que o dispositivo aínda depende. Separe os obxectos antes de borrar nada, e despois elimine só o que posúe o comportamento que intenta deter.

Despois, comprobe os nomes privados dos que depende o seu traballo, porque unha aplicación organizativa pode depender dun resolutor que o DNS público nunca oíu. Ese fallo adoita aparecer como un erro de aplicación en vez de como un erro de DNS, e por iso se diagnostica mal. Proba un nome interno e un nome público desde a mesma aplicación, e a resposta diralle que obxecto eliminou realmente.