DNS של VPN באייפון: מי הבעלים של ההגדרה קובע היכן היא חלה

הקלידו כתובת פותר פרטי בהגדרות ה-Wi-Fi של אייפון והיא תעבוד עד שהטלפון יעזוב את הרשת, וזה בדיוק הרגע שבו VPN אמור להשתלט. זו המלכודת הראשונה ב-DNS נייד: המקום שבו הזנתם את ההגדרה מגדיר את היקפה, וההיקף צר מכפי שרוב האנשים מניחים. לפני שתערכו משהו, ענו על שלוש שאלות על הפריסה, כי התשובות קובעות באיזו בקרה עליכם לגעת. התייחסו לרצף כאל סקירת עיצוב ולא כאל חיפוש הגדרות.

שלוש שאלות לפני הקלדת כתובת פותר

ראשית, אילו שמות באמת זקוקים לטיפול מיוחד? אזור פרטי כמו corp.example הוא מרחב שמות, לא מארח יחיד, והתשובה צריכה להיות דומיין ולא רשומה אחת. שנית, איזה פותר הוא הסמכותי עבורו, ומי הבעלים של השירות הזה? שלישית, איזה נתיב הופך את הפותר הזה לנגיש מהטלפון: המנהרה, רשת Wi-Fi מנותבת, או משהו אחר לגמרי?

אם לאחד משלושת אלה אין בעלים, עצרו. שינוי DNS שנעשה בלי מרחב שמות, מקור סמכותי ונתיב נגיש הוא ניחוש שייכשל אחרת בסלולר מאשר במשרד.

רשומת DNS של Wi-Fi שייכת לאותה רשת Wi-Fi

תצורת ה-DNS הידנית ב-iOS נשמרת לפי רשת. היא חלה כל עוד הטלפון משויך לאותו SSID ומפסיקה לחול כשהוא לא, כלומר היא אינה יכולה לשלוט בתעבורה סלולרית או לתאר מה לקוח VPN עושה. עריכתה כדי לתקן אפליקציה שנכשלת בסלולר היא שינוי הגדרה שהנתיב הכושל לעולם אינו קורא.

זה לא הופך DNS לפי רשת לחסר תועלת. למעבדת בית או ל-SSID משרדי אחד, זו הדרך הפשוטה ביותר להגיע לפותר פנימי, והיא ישרה לגבי הגבול שלה.

מנגנון ה-DNS של VPN הולך אחר הפרוטוקול והלקוח

ספק מנהרת מנות ב-iOS יכול להגדיר DNS דרך ה-API של הגדרות ה-DNS של אפל, שחושף כתובות פותר והתאמת דומיינים למנהרה שבעלת החיבור. תצורת IKEv2 מקורית יכולה לקבל DNS דרך מטען התצורה של IKE כשהשער דוחף אותו, אבל אם לקוח מסוים מיישם את מה שהוא מקבל הוא פרט מימוש שעליכם לאמת. לקוח מבוסס אפליקציה יכול ליישם נתיב פענוח משל עצמו לחלוטין.

אלה נקודות אינטגרציה שונות, ותוצאה מאחת מהן אינה הופכת לכלל לכל האייפונים. המנגנון הנתמך הוא מה שהפרופיל או הספק מתעדים עבור הפרוטוקול שבשימוש.

החליטו לפי בעלות, לא לפי נוחות

אם המכשיר מנוהל, בעל הפרופיל צריך לספק את הגדרת ה-DNS יחד עם תצורת ה-VPN, כך שהרשמה מחדש משחזרת אותה בלי שהמשתמש יזכור דבר. אם אפליקציית ספק היא הבעלים של המנהרה, מסך ההגדרות שלה הוא המקום להסתכל בו, והתיעוד שלה הוא הסמכות לגבי מה היא יכולה לפצל. אם הטלפון אישי והצורך הוא שם פנימי אחד ברשת אחת, ההגדרה לפי רשת היא מידתית.

כלל ההחלטה קצר: ההגדרה שייכת למקום שבו החיבור מוקצה. בכל מקום אחר היא חריגה מקומית ששינוי הרשת הבא ימחק.

אמתו בנתיבים שהטלפון באמת משתמש בהם

בדקו בקשה חדשה מהאפליקציה שזקוקה לשם הפרטי, ב-Wi-Fi במשרד, בסלולר ובמעבר ביניהם. אפליקציה עם אינטגרציית פותר משלה עשויה ללכת בנתיב שונה מהמערכת, לכן בדקו את האפליקציה עצמה ולא לשונית דפדפן שעובדת במקרה.

כשהשם הפרטי נכשל, שמרו את השגיאה המדויקת ואת מצב הפרופיל. פותר ציבורי שמשיב שהשם אינו קיים נותן תשובה נכונה לשאלה הלא נכונה, והוספתו לצד פותר החברה אינה עיצוב מרחב שמות.

לבסוף, אחסנו את המדיניות המאומתת יחד עם מקור ההקצאה. החיבור מחדש או ההרשמה הבאים אמורים לשחזר את אותו שירות שמות מפני שהפרופיל אמר כך, לא מפני שמישהו זכר עריכה שנעשתה בנקודת גישה אחת לפני שנתיים.