Profilo DNS iOS e profilo VPN: quale hai davvero

Qualcuno invia un profilo iPhone con un nome rassicurante, si installa in due tocchi e i nomi interni iniziano a risolversi. Se anche il traffico passi da un tunnel è una domanda separata, e il nome visualizzato non risponde. Un profilo può contenere più payload, quindi l'unica mossa affidabile è aprirlo e leggere cosa configura ciascun payload. L'elenco è breve, i nomi dei payload sono noiosi, e la risposta diventa di solito ovvia dopo averli visti. Indovinare dal titolo è il modo in cui le persone finiscono per credere che il loro traffico sia in tunnel quando lo sono solo le loro risoluzioni.

Aprite l'elenco dei payload, non l'intestazione

Su iOS l'elenco dei profili si trova in Impostazioni, Generali, VPN e Gestione dispositivo, e ogni voce si apre su un inventario di payload anziché su un singolo interruttore. Leggete quell'inventario: un payload di impostazioni DNS, un payload VPN, un payload proxy, certificati, Wi-Fi. Un profilo che contiene solo impostazioni DNS non è un tunnel, qualunque cosa suggerisca il nome, e uno che li contiene entrambi svolge due compiti diversi insieme. L'inventario è l'affermazione tecnica, l'intestazione è marketing.

Tre domande trasformano l'inventario in una decisione. Cambia la risoluzione dei nomi, cambia l'indirizzo pubblico di origine, e quali applicazioni copre ciascun effetto? Un payload DNS risponde alla prima, un payload VPN di solito risponde alla seconda e alla terza, e qualsiasi cosa pretenda entrambe deve mostrare due payload o un'estensione documentata.

Cosa cambia davvero un payload DNS

Un payload DNS cambia il modo in cui i nomi vengono risolti nel suo ambito configurato, che può significare un resolver specifico, un trasporto cifrato come DNS over HTTPS, o un insieme limitato di domini. Ciò che di solito non cambia è l'indirizzo pubblico di origine delle vostre connessioni, quindi i siti web vedono ancora la rete in cui vi trovate. Risoluzione e instradamento sono meccanismi separati, e solo uno dei due si è spostato. Per questo un nome interno può risolversi correttamente mentre la pagina dietro di esso rifiuta di caricarsi.

Un payload DNS introduce anche una parte che riceve le vostre query, e se l'operatore del resolver non è l'operatore della rete, quella è una nuova presenza nel percorso. Annotatelo, perché cambia chi può vedere quali nomi chiedete. Da solo non nasconde gli indirizzi di destinazione a cui vi collegate in seguito.

Cosa cambia davvero un payload VPN

Un payload VPN stabilisce un tunnel e una politica di instradamento e, a seconda di come è configurato, può catturare tutto il traffico, solo le destinazioni elencate o solo le applicazioni elencate. Le esclusioni contano quanto le inclusioni, dato che un profilo a tunnel completo con due domini esclusi si comporta in modo del tutto diverso da ciò che il nome suggerisce. Il VPN per applicazione può lasciare il browser interamente fuori dal tunnel mentre il badge nella barra di stato dice connesso. Leggete gli elenchi inclusi ed esclusi prima di fidarvi dell'una o dell'altra parola.

Qui l'indirizzo di origine cambia, almeno per il traffico che il tunnel cattura, ed è la distinzione pratica che la maggior parte delle persone sta davvero chiedendo. Tutto il resto è dettaglio su quale traffico.

Dove le app Network Extension offuscano l'etichetta

Un'app può installare la propria Network Extension il cui comportamento l'elenco dei profili non descrive chiaramente, quindi il nome commerciale e l'indicatore nella barra di stato non sono un inventario. Aprite la schermata di configurazione dell'app accanto ai payload del profilo e confrontate le due. Un interruttore etichettato protezione può cambiare solo la risoluzione, e uno etichettato DNS privato può cambiare solo il resolver. Dove le due fonti non concordano, credete all'elenco dei payload e annotate la differenza.

È anche per questo che un'app può superare un test rapido su una rete e fallire su un portale captive, dove la risoluzione funziona e l'instradamento no. I due meccanismi non sono mai stati la stessa cosa.

Rimuovere l'oggetto giusto e controllare i nomi dopo

Rimuovete una configurazione tramite l'app o il servizio di gestione che l'ha installata, usando i passaggi di rimozione documentati da Apple invece di cancellare file trovati sul dispositivo. Eliminare un profilo può portare con sé impostazioni e dati associati, e un profilo gestito può rifiutarsi di andarsene finché il lato gestione non lo rilascia. Rimuovere un payload DNS non dovrebbe mai richiedere di distruggere un'identità VPN non correlata da cui il dispositivo dipende ancora. Separate gli oggetti prima di cancellare qualcosa, poi rimuovete solo quello che possiede il comportamento che state cercando di fermare.

Dopo, controllate i nomi privati da cui dipende il vostro lavoro, perché un'app aziendale può affidarsi a un resolver che il DNS pubblico non ha mai sentito nominare. Quel guasto di solito si manifesta come errore dell'applicazione invece che come errore DNS, ed è per questo che viene diagnosticato male. Provate un nome interno e un nome pubblico dalla stessa app, e la risposta vi dirà quale oggetto avete davvero rimosso.