DNS do VPN no iPhone: quen posúe o axuste decide onde se aplica

Escriba un enderezo de resolutor privado nos axustes de Wi-Fi dun iPhone e funcionará ata que o teléfono abandone esa rede, que é exactamente cando un VPN debe tomar o relevo. Ese é o primeiro engano do DNS móbil: o lugar onde introduciu o axuste define o seu alcance, e o alcance é máis estreito do que a maioría supón. Antes de editar nada, responda tres preguntas sobre o despregamento, porque as respostas deciden que control debería tocar. Trate a secuencia como unha revisión de deseño e non como unha caza de axustes.

Tres preguntas antes de escribir un enderezo de resolutor

Primeiro, que nomes necesitan realmente un trato especial? Unha zona privada como corp.example é un espazo de nomes, non un só host, e a resposta debería ser un dominio e non un só rexistro. Segundo, que resolutor é autoritativo para ela, e quen é o propietario dese servizo? Terceiro, que camiño fai que ese resolutor sexa alcanzable desde o teléfono: o túnel, unha rede Wi-Fi encamiñada ou algo completamente distinto?

Se algún deses tres non ten propietario, detéñase. Un cambio de DNS feito sen un espazo de nomes, unha fonte autoritativa e un camiño alcanzable é unha suposición que fallará de forma distinta na rede móbil que na oficina.

Unha entrada DNS de Wi-Fi pertence a esa rede Wi-Fi

A configuración manual de DNS en iOS gárdase por rede. Aplícase mentres o teléfono está asociado a ese SSID e deixa de aplicarse cando non o está, o que significa que non pode gobernar o tráfico móbil nin describir que fai un cliente VPN. Editala para arranxar unha aplicación que falla na rede móbil é cambiar un axuste que o camiño que falla nunca le.

Iso non fai inútil o DNS por rede. Para un laboratorio doméstico ou un único SSID de oficina, é a forma máis sinxela de chegar a un resolutor interno, e é honesto sobre a súa fronteira.

O mecanismo DNS do VPN segue o protocolo e o cliente

Un provedor de túnel de paquetes en iOS pode configurar DNS mediante a API de axustes DNS de Apple, que expón enderezos de resolutor e coincidencia de dominios ao túnel que posúe a conexión. Unha configuración IKEv2 nativa pode recibir DNS mediante a carga de configuración IKE cando a pasarela a empuxa, pero se un cliente determinado aplica o que recibe é un detalle de implementación que debe verificar. Un cliente baseado en aplicación pode implementar por completo o seu propio camiño de resolución.

Son puntos de integración distintos, e o resultado dun deles non se converte en regra para todos os iPhone. O mecanismo admitido é o que o perfil ou o provedor documenta para o protocolo en uso.

Decida por propiedade, non por comodidade

Se o dispositivo está xestionado, o propietario do perfil debería entregar o axuste DNS coa configuración do VPN, de modo que unha nova inscrición o restaure sen que o usuario recorde nada. Se unha aplicación do provedor posúe o túnel, a súa pantalla de axustes é o lugar onde mirar, e a súa documentación é a autoridade sobre o que pode separar. Se o teléfono é persoal e a necesidade é un nome interno nunha rede, o axuste por rede é proporcionado.

A regra de decisión é curta: o axuste pertence a onde se aprovisiona a conexión. En calquera outro lugar, é unha excepción local que o próximo cambio de rede borrará.

Verifique nos camiños que o teléfono usa realmente

Probe unha solicitude nova desde a aplicación que necesita o nome privado, no Wi-Fi da oficina, na rede móbil e nunha transición entre ambas. Unha aplicación coa súa propia integración de resolutor pode tomar un camiño distinto do sistema, así que probe a aplicación real e non unha lapela do navegador que funciona por casualidade.

Cando o nome privado falla, garde o erro exacto e o estado do perfil. Un resolutor público que responde que o nome non existe dá unha resposta correcta á pregunta equivocada, e engadilo xunto ao resolutor da empresa non é un deseño de espazo de nomes.

Por último, garde a política verificada coa fonte de aprovisionamento. A próxima reconexión ou inscrición debería restaurar o mesmo servizo de nomes porque o perfil o dixo, non porque alguén recordou unha edición feita nun punto de acceso hai dous anos.