DNS VPN di iPhone: siapa pemilik setelan menentukan di mana ia berlaku

Masukkan alamat resolver privat di pengaturan Wi-Fi iPhone dan itu akan berfungsi sampai telepon meninggalkan jaringan tersebut, tepat saat VPN seharusnya mengambil alih. Itulah jebakan pertama DNS seluler: tempat Anda memasukkan setelan menentukan cakupannya, dan cakupannya lebih sempit daripada yang diasumsikan kebanyakan orang. Sebelum mengedit apa pun, jawab tiga pertanyaan tentang penerapan, karena jawabannya menentukan kontrol mana yang harus Anda sentuh. Perlakukan urutannya sebagai tinjauan desain, bukan perburuan setelan.

Tiga pertanyaan sebelum mengetik alamat resolver

Pertama, nama mana yang benar-benar perlu penanganan khusus? Zona privat seperti corp.example adalah ruang nama, bukan satu host, dan jawabannya harus berupa domain, bukan satu catatan. Kedua, resolver mana yang berwenang untuknya, dan siapa pemilik layanan itu? Ketiga, jalur mana yang membuat resolver itu dapat dijangkau dari telepon: terowongan, jaringan Wi-Fi yang dirutekan, atau sesuatu yang sama sekali lain?

Jika salah satu dari ketiganya tidak punya pemilik, berhenti. Perubahan DNS tanpa ruang nama, sumber berwenang, dan jalur yang dapat dijangkau adalah dugaan yang akan gagal berbeda di seluler daripada di kantor.

Entri DNS Wi-Fi adalah milik jaringan Wi-Fi itu

Konfigurasi DNS manual di iOS disimpan per jaringan. Berlaku selama telepon terhubung ke SSID itu dan berhenti berlaku saat tidak, yang berarti tidak dapat mengatur lalu lintas seluler atau menjelaskan apa yang dilakukan klien VPN. Mengeditnya untuk memperbaiki aplikasi yang gagal di seluler adalah mengubah setelan yang tidak pernah dibaca jalur yang gagal itu.

Itu tidak membuat DNS per jaringan tidak berguna. Untuk lab rumahan atau satu SSID kantor, ini cara paling sederhana menjangkau resolver internal, dan jujur tentang batasnya.

Mekanisme DNS VPN mengikuti protokol dan klien

Penyedia terowongan paket di iOS dapat mengonfigurasi DNS melalui API pengaturan DNS Apple, yang mengekspos alamat resolver dan pencocokan domain ke terowongan yang memiliki koneksi. Konfigurasi IKEv2 asli dapat menerima DNS melalui payload konfigurasi IKE saat gateway mendorongnya, tetapi apakah klien tertentu menerapkan apa yang diterimanya adalah detail implementasi yang harus Anda verifikasi. Klien berbasis aplikasi dapat menerapkan jalur resolusi sendiri sepenuhnya.

Itu adalah titik integrasi yang berbeda, dan hasil dari salah satunya tidak menjadi aturan bagi semua iPhone. Mekanisme yang didukung adalah apa yang didokumentasikan profil atau penyedia untuk protokol yang dipakai.

Putuskan berdasarkan kepemilikan, bukan kenyamanan

Jika perangkat dikelola, pemilik profil sebaiknya mengirimkan setelan DNS bersama konfigurasi VPN, sehingga pendaftaran ulang memulihkannya tanpa pengguna harus mengingat apa pun. Jika aplikasi penyedia memiliki terowongan, layar pengaturannya adalah tempat untuk melihat, dan dokumentasinya adalah otoritas tentang apa yang dapat dipisahkannya. Jika telepon bersifat pribadi dan kebutuhannya satu nama internal di satu jaringan, setelan per jaringan adalah proporsional.

Aturan keputusannya singkat: setelan itu milik tempat koneksi disediakan. Di tempat lain, itu pengecualian lokal yang akan dihapus oleh perubahan jaringan berikutnya.

Verifikasi pada jalur yang benar-benar dipakai telepon

Uji permintaan baru dari aplikasi yang membutuhkan nama privat, di Wi-Fi kantor, di seluler, dan saat berpindah di antara keduanya. Aplikasi dengan integrasi resolver sendiri dapat menempuh jalur berbeda dari sistem, jadi uji aplikasi sebenarnya, bukan tab peramban yang kebetulan berfungsi.

Saat nama privat gagal, simpan galat persisnya dan status profil. Resolver publik yang menjawab bahwa nama tidak ada memberikan jawaban benar atas pertanyaan yang salah, dan menambahkannya di samping resolver perusahaan bukanlah desain ruang nama.

Terakhir, simpan kebijakan yang telah diverifikasi bersama sumber penyediaan. Sambungan ulang atau pendaftaran berikutnya harus memulihkan layanan nama yang sama karena profil mengatakannya, bukan karena seseorang mengingat suntingan pada satu hotspot dua tahun lalu.