iPhone’дагы WireGuard DNS: домен — бул гана издөө мүчөсү

Сиз чечүүчүнүн дареги жана компаниянын домени менен бир сап жазасыз жана ушул домендеги аттар гана туннелдик чечүүчүнү колдонот деп күтөсүз. Apple кардарында азыр бардык аттар ошол жакка барат, домендеги кыска аттар да чечилет. Сап эки өзүнчө иш кылат жана алардын бирөө гана туннелдин кайсы суроолорду иштетүүсүнө тиешелүү. Экинчиси — теруу ыңгайлуулугу, ал каалаган окуу менен саясатка чейин көтөрүлгөн.

DNS сабы эмнеге ажыратылат

Кардар жазууну тизме катары окуп, ар бир элементти формасы боюнча классификациялайт. Дарекке окшош бардык нерсе DNS серверине айланат; доменге окшош бардык нерсе издөө мүчөсүнө айланат. Экөө тең туннелдин жөндөөлөрүнө түшөт, бирок ар башка талааларга. Жеке чечүүчүнү жана бир ички доменди алып жүргөн туннель үчүн үлгү сап мындай көрүнөт.

DNS = 10.24.8.53, lab.internal.example

Дарек чечүүчүнү камсыз кылат. Домен кардарга кыска ат теруүгө жана системага сураганга чейин калганын кошууга мүмкүндүк берген мүчө камсыз кылат. Экөөнүн эч бири чечүүчүнү ушул домен менен чектөө жөнүндө эч нерсе айтпайт, ал эми адамдар дал ушул бөлүктү күтүшөт жана алышпайт. Платформада бул чектөөнү бир гана талаа билдире алат жана бул ошол талаа эмес.

Apple’дын эки талаасы, эки ар башка иш

Apple бул айырмачылыкты өзүнүн DNS жөндөөлөрүнүн объектисинде көрсөтөт. Издөө домендеринин тизмеси бир белгилүү хост аттарын квалификациялоо үчүн колдонулган тизме катары документтелген: жылаңач хост атын териңиз, система ар бир мүчөнү кезеги менен кошо алат. Бул толуктоо эрежеси, маршруттоо эрежеси эмес. Бул тизмеде эч нерсе кайсы серверге суроо жөнөтүлөрүн чечпейт.

Дал келүү домендеринин тизмеси башка касиет. Ал кайсы ат мейкиндиктери ушул DNS жөндөөлөрүнүн жыйындысын колдонушун чечет, ал эми бош жазуу белгилүү бир мүчөнү эмес, демейки доменди билдирет. пакеттик туннелдин жөндөөлөрүнүн генератору Apple кардарында ушул моделди ээрчийт. Ал талданган издөө мүчөлөрүн издөө тизмесине коёт жана серверлер болгондо дал келүү тизмесин бош сапка коёт. Натыйжа — система жибергендин баарына жооп берген туннелдик чечүүчү жана кыска аттарга жардам берген мүчө.

Ошондуктан ошол саптагы домен ат мейкиндигинин тандоочусу эмес. Дагы бирөөнү кошуу туннель колдонгон суроолорду тарытпайт, аны алып салуу да аларды кеңейтпейт. Өзгөргөн жалгыз нерсе — канча кыска ат толукталары.

Эмне үчүн ар бир ат дагы эле туннелдик чечүүчүгө жетет

Бош дал келүү жазуусу менен туннель жөнөкөй аттар үчүн талапкер чечүүчү, компания домени үчүн гана эмес. Толук туннель конфигурациясында бул адатта анча маанилүү эмес, анткени бардык трафик баары бир туннелде. Бөлүнгөн туннелде бул абдан маанилүү. Коомдук аттарды эми жеке зонаны гана кармаган чечүүчү чече алат, ал эми ийгиликсиздик бузулган VPN сыяктуу көрүнөт, чындыгында бул ат мейкиндигинин бир бөлүгүнө гана жооп берген чечүүчү. Туннель жакшы, суроолор чыгып кетет, ал эми жооптор бош кайтат.

Эки оңдоо бар жана алар ар башка чечимдер. Туннелдик чечүүчүнү коомдук аттарды бекитилген жол менен өткөргөн толук чечүүчүгө айландырыңыз, же домендер тизмесинин ордуна кардардын конфигурациясын өзгөртүү менен коомдук аттарды ошол жакка жөнөтүүнү токтотуңуз. Биринчиси ар бир суроону туннелде кармайт жана жогорку агымга ишенет. Экинчиси кээ бир суроолорду жергиликтүү кармайт жана туннель өчүк кезде жеке аттар чечилбей калышы мүмкүн экенин кабыл алат.

Бөлүнгөн DNS чындыгында эмнени талап кылмак

Ат мейкиндиги менен чектелген чечүүчү саясаты аны билдирүүгө мүмкүндүк берген кардарды талап кылат: Apple платформаларында домендерди дал келтириңиз, же колдонгон продуктуңуздагы барабар жөндөө. Серверлерди жана мүчөлөрдү гана кабыл алган конфигурация талаасы аны кандай тыныш белгиленсе да билдире албайт. Профиль бул саясатты алып жүрө алат, анткени ал туташуу учурундагы кеңеш эмес, башкарылуучу конфигурацияны сүрөттөйт. Ал доменди, серверлерди жана ошол домен жеткиликсиз болгондо эмне болушу керектигин атай алат. Бул жөндөө менен келишимдин ортосундагы айырма.

Башкарылуучу Apple түзмөктөрүндө бул адатта доменге тиешелүү DNS жөндөөлөрүн алып жүргөн конфигурация профили аркылуу берилет. Бул WireGuard конфигурация файлынан башка механизм жана экөө кардар профилди сыйласа гана чогуу боло алат. Эки продукт бирдей жүрүм-турум көрсөтөт деп ойлоодон мурун кардарыңыз талааны чындыгында эмне деп атай турганын текшериңиз. Mac’теги wg-quick скрипти жана iPhone’догу WireGuard колдонмосу окшош саптарды окуп, аларды ар башка катмарлар аркылуу орнотот.

Орнотулган жөндөөлөрдү окуңуз, конфигурацияны эмес

Mac’те система эмне менен бүткөнүн текшере аласыз, бул жазган файлыңызды кайра окуудан да көбүрөөк маалымат берет. Чечүүчүлөрдүн тизмеси кайсы серверлердин кайсы домендер үчүн конфигурацияланганын көрсөтөт, ал эми чектелген суроолор кайсынысы жеңгенин көрсөтөт. Сапты бузган кардар муну жазган файлыңызда эмес, ушунда көрсөтөт. iOS’те барабар буйрук сабы жок, ошондуктан ал жактагы далил — натыйжа: туннель аркылуу чечилген жеке ат жана жообу кайсы чечүүчү жооп бергенин ачып берген коомдук ат.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

Бул эки буйрук учурдагы чечүүчүнүн конфигурациясын жана активдүү кызматтын DNS серверлерин басып чыгарат. Эгер туннелдик чечүүчү домен чектөөсүз демейки чечүүчү катары көрүнсө, конфигурация кардар сураганды так аткарат. Муну механизмди өзгөртүү менен оңдоңуз, экинчи мүчө кошуп, жүрүм-турум өзгөрөт деп үмүттөнүү менен эмес.