פרופיל DNS של iOS מול פרופיל VPN: איזה מהם יש לכם

מישהו שולח פרופיל iPhone עם שם מרגיע, הוא מותקן בשתי הקשות, ושמות פנימיים מתחילים להיפתר. האם התעבורה גם עוברת במנהרה היא שאלה נפרדת, והשם המוצג אינו עונה עליה. פרופיל אחד יכול לשאת כמה מטענים, ולכן המהלך האמין היחיד הוא לפתוח אותו ולקרוא מה כל מטען מגדיר. הרשימה קצרה, שמות המטענים משעממים, והתשובה בדרך כלל ברורה ברגע שרואים אותם. ניחוש מהכותרת הוא הדרך שבה אנשים מגיעים להאמין שהתעבורה שלהם עוברת במנהרה כשרק השאילתות שלהם עוברות בה.

פתחו את רשימת המטענים, לא את הכותרת

ב-iOS רשימת הפרופילים נמצאת תחת Settings, General, VPN and Device Management, וכל רשומה נפתחת למלאי מטענים ולא למתג יחיד. קראו את המלאי הזה: מטען הגדרות DNS, מטען VPN, מטען פרוקסי, תעודות, Wi-Fi. פרופיל שנושא רק הגדרות DNS אינו מנהרה, יהא שמו אשר יהא, ופרופיל שנושא את שניהם עושה שתי עבודות שונות בעת ובעונה אחת. המלאי הוא הטענה הטכנית, והכותרת היא שיווק.

שלוש שאלות הופכות את המלאי להחלטה. האם פתרון השמות משתנה, האם כתובת המקור הציבורית משתנה, ואילו יישומים כל השפעה מכסה? מטען DNS עונה על הראשונה, מטען VPN עונה בדרך כלל על השנייה והשלישית, וכל דבר שטוען את שתיהן צריך להציג שני מטענים או הרחבה מתועדת.

מה מטען DNS באמת משנה

מטען DNS משנה כיצד נפתרים שמות בתוך ההיקף המוגדר שלו, כלומר פותר מסוים, תעבורה מוצפנת כמו DNS over HTTPS, או קבוצה מוגבלת של דומיינים. מה שהוא בדרך כלל אינו משנה הוא כתובת המקור הציבורית של החיבורים שלכם, כך שאתרים עדיין רואים את הרשת שאתם נמצאים בה. פתרון שמות וניתוב הם מנגנונים נפרדים, ורק אחד מהם זז. לכן שם פנימי יכול להיפתר כראוי בעוד העמוד שמאחוריו מסרב להיטען.

מטען DNS גם מכניס גורם שמקבל את השאילתות שלכם, ואם מפעיל הפותר אינו מפעיל הרשת, זהו משתתף חדש במסלול. שימו לב לכך, כי זה משנה מי יכול לראות אילו שמות אתם מבקשים. הוא כשלעצמו אינו מסתיר את כתובות היעד שאליהן תתחברו אחר כך.

מה מטען VPN באמת משנה

מטען VPN מקים מנהרה ומדיניות ניתוב, ובהתאם לאופן ההגדרה הוא עשוי ללכוד את כל התעבורה, רק יעדים רשומים, או רק יישומים רשומים. החריגות חשובות כמו ההכללות, שכן פרופיל מנהרה מלאה עם שני דומיינים חריגים אינו מתנהג כלל כפי שהשם מרמז. VPN לפי יישום יכול להשאיר את הדפדפן כולו מחוץ למנהרה בעוד התג בשורת המצב אומר מחובר. קראו את רשימות ההכללה והחריגה לפני שאתם מאמינים למילה כלשהי.

כאן כתובת המקור כן משתנה, לפחות לתעבורה שהמנהרה לוכדת, וזהו ההבדל המעשי שרוב האנשים שואלים עליו באמת. כל השאר הוא פירוט לגבי איזו תעבורה.

היכן יישומי Network Extension מטשטשים את התווית

יישום יכול להתקין Network Extension משלו שרשימת הפרופילים אינה מתארת את התנהגותו באופן ברור, ולכן שם השיווק והמחוון בשורת המצב אינם מלאי. פתחו את מסך התצורה של היישום עצמו לצד מטעני הפרופיל והשוו בין השניים. מתג שכותרתו הגנה עשוי להחליף רק את פתרון השמות, ומתג שכותרתו DNS פרטי עשוי לשנות רק את הפותר. כששני המקורות אינם מסכימים, האמינו לרשימת המטענים ורשמו את ההבדל.

זו גם הסיבה שיישום יכול לעבור בדיקה מהירה ברשת אחת ולהיכשל בפורטל לכידה, שבו פתרון השמות עובד והניתוב לא. שני המנגנונים מעולם לא היו אותו דבר.

להסיר את האובייקט הנכון, ולבדוק את השמות אחר כך

הסירו תצורה דרך היישום או שירות הניהול שהתקין אותה, בעזרת שלבי ההסרה המתועדים של Apple במקום למחוק קבצים שמצאתם. מחיקת פרופיל עלולה לקחת איתה הגדרות ונתונים משויכים, וגם פרופיל מנוהל עשוי לסרב לעזוב עד שצד הניהול משחרר אותו. הסרת מטען DNS אחד לעולם לא אמורה לדרוש השמדת זהות VPN לא קשורה שהמכשיר עדיין תלוי בה. הפרידו בין האובייקטים לפני שתמחקו משהו, ואז הסירו רק את זה שבעל ההתנהגות שאתם מנסים לעצור.

לאחר מכן, בדקו את השמות הפרטיים שהעבודה שלכם תלויה בהם, כי יישום ארגוני עשוי להסתמך על פותר ש-DNS ציבורי מעולם לא שמע עליו. כשל כזה מופיע בדרך כלל כשגיאת יישום ולא כשגיאת DNS, ולכן הוא מאובחן לא נכון. בדקו שם פנימי אחד ושם ציבורי אחד מאותו יישום, והתשובה תגיד לכם איזה אובייקט הסרתם באמת.