iOS の DNS プロファイルと VPN プロファイル、どちらを持っているか

誰かが安心させる名前の iPhone プロファイルを送ってきて、それは二回のタップでインストールされ、社内名が解決し始めます。通信もトンネルを通るのかは別の問いであり、表示名はそれに答えません。一つのプロファイルが複数のペイロードを持つことがあるので、確実な方法はそれを開いて各ペイロードが何を設定しているか読むことだけです。一覧は短く、ペイロード名は地味で、見てしまえば答えはたいてい明らかです。タイトルから推測するのは、名前解決だけがトンネル化されているのに通信全体がそうなっていると信じ込む原因です。

開くべきはヘッダーではなくペイロード一覧

iOS ではプロファイル一覧は「設定」の「一般」「VPN とデバイス管理」にあり、各項目は単一のスイッチではなくペイロードの棚卸しへ開きます。その棚卸しとは、DNS 設定のペイロード、VPN ペイロード、プロキシのペイロード、証明書、Wi-Fi です。DNS 設定だけを持つプロファイルは、名前が何を示唆しようとトンネルではなく、両方を持つものは二つの異なる仕事を同時にしています。棚卸しが技術的な主張であり、ヘッダーは宣伝です。

三つの問いが棚卸しを判断に変えます。名前解決は変わるのか、公開の送信元アドレスは変わるのか、それぞれの効果はどのアプリに及ぶのか。DNS ペイロードは一つ目に答え、VPN ペイロードはたいてい二つ目と三つ目に答え、両方をうたうものは二つのペイロードか文書化された拡張を示すべきです。

DNS ペイロードが実際に変えるもの

DNS ペイロードは、設定された範囲内で名前がどう解決されるかを変えます。それは特定のリゾルバ、DNS over HTTPS のような暗号化された転送、あるいは制限されたドメイン集合を意味することがあります。通常変えないのは接続の公開送信元アドレスであり、したがってウェブサイトには今いるネットワークがそのまま見えます。解決と経路制御は別の仕組みであり、動いたのは片方だけなので、社内名は正しく解決するのにその先のページが読み込めないことが起こります。

DNS ペイロードは、あなたの問い合わせを受け取る相手も連れてきますが、リゾルバの運営者がネットワークの運営者でなければ、それは経路に加わる新しい当事者です。どの名前を尋ねたかを誰が見られるかが変わるので、書き留めておいてください。それ自体は、後から接続する宛先アドレスを隠しません。

VPN ペイロードが実際に変えるもの

VPN ペイロードはトンネルと経路ポリシーを確立し、設定次第で全通信を捕捉することも、一覧にある宛先だけ、あるいは一覧にあるアプリだけを捕捉することもあります。除外は包含と同じくらい重要で、二つのドメインを除外した全トンネルのプロファイルは、名前が示すようにはまったく振る舞いません。アプリ単位の VPN では、ステータスバーのバッジが接続済みと言っていても、ブラウザがトンネルの完全に外にいることがあります。どちらの言葉を信じる前に、包含と除外の一覧を読んでください。

ここでは送信元アドレスが実際に変わり、少なくともトンネルが捕捉する通信については、それが多くの人が本当に知りたい実務上の違いです。残りはどの通信かという細部です。

Network Extension アプリがラベルを曖昧にする場所

アプリは独自の Network Extension をインストールでき、その挙動をプロファイル一覧は明示しませんので、販売名とステータスバーの表示は棚卸しではありません。プロファイルのペイロードの隣でアプリ自身の設定画面を開き、両者を比べてください。「保護」と表示されたスイッチが解決だけを切り替えることも、「プライベート DNS」と表示されたスイッチがリゾルバだけを変えることもあります。二つの情報源が食い違うときは、ペイロード一覧を信じ、違いを書き留めてください。

同じ理由で、アプリはあるネットワークでは簡単なテストに通り、キャプティブポータルでは失敗します。そこでは解決は働き、経路制御は働かないので、二つの仕組みは決して同じものではありませんでした。

正しいオブジェクトを削除し、その後で名前を確認する

設定は、それを導入したアプリまたは管理サービスを通じて削除し、見つけたファイルを消すのではなく Apple が文書化している削除手順 を使ってください。プロファイルを削除すると関連する設定やデータも一緒に消えることがあり、管理されたプロファイルは管理側が解放するまで離れないことがあります。DNS ペイロードを一つ外すのに、端末がまだ依存している無関係な VPN 識別情報を壊す必要は決してありません。何かを消す前にオブジェクトを分け、止めたい挙動を所有するものだけを削除してください。

その後で、仕事が依存している非公開の名前を確認してください。組織のアプリは、公開 DNS が聞いたことのないリゾルバに頼っていることがあり、その失敗はたいてい DNS のエラーではなくアプリのエラーとして現れるため、誤診されます。同じアプリから社内名を一つと公開名を一つ試せば、実際に何を削除したのかが答えとして返ってきます。