WireGuard-DNS um iPhone: d’Domain ass just e Sichsuffix

Dir schreift eng Zeil mat enger Resolver-Adress an engem Firmendomain a erwaart, datt just Nimm an deem Domain den Tunnel-Resolver benotzen. Um Apple-Client ginn elo all Nimm dohinner, an och kuerz Nimm am Domain ginn opgeléist. D’Zeil mécht zwou getrennt Saachen, a just eng dovun ass doriwwer, wéi eng Ufroen den Tunnel verschafft. Déi aner ass eng Tipp-Hëllef, déi duerch Wonschdenken zu enger Richtlinn erhuewe gouf.

A wat d’DNS-Zeil zerdeelt gëtt

De Client liest den Entrée als Lëscht a klassifizéiert all Element no senger Form. Alles wat wéi eng Adress ausgesäit, gëtt en DNS-Server; alles wat wéi en Domain ausgesäit, gëtt e Sichsuffix. Déi zwou landen an den Tunnel-Astellungen, awer a verschiddene Felder. Eng illustrativ Zeil fir en Tunnel, deen en private Resolver an een internen Domain dréit, gesäit sou aus.

DNS = 10.24.8.53, lab.internal.example

D’Adress liwwert den Resolver. Den Domain liwwert e Suffix, deen et dem Client erlaabt, e kuerzen Numm ze tippen, an dem System de Rescht bäizefügen, ier et freet. Keng vun deenen zwou seet eppes doriwwer, den Resolver op deen Domain ze begrenzen, an dat ass just deen Deel, deen d’Leit erwaarden an net kréien. Just eng eenzeg Feld op der Plattform kann déi Aschränkung ausdrécken, an et ass net dës Feld.

Zwou Apple-Felder, zwou verschidde Aufgaben

Apple weist den Ënnerscheed an sengem DNS-Astellungs-Objet. D’Sichdomain-Lëscht ass dokumentéiert als d’Lëscht, déi benotzt gëtt fir een-Etikett-Hostnimm ze qualifizéieren: tippt en nackten Hostnumm an de System kann all Suffix noeneen bäifügen. Dat ass eng Vervollstännegungsregel, keng Routing-Regel. Näischt an där Lëscht entscheet, wéi ee Server gefrot gëtt.

D’Match-Domain-Lëscht ass eng aner Eegenschaft. Si entscheet, wéi eng Nummraim dës DNS-Astellunge benotzen, an en eiden Entrée bedeit den Standarddomain an net ee bestëmmten Suffix. Generator fir Paket-Tunnel-Astellungen am Apple-Client follegt deem Modell. Et setzt déi analyséiert Sichsuffixen an d’Sichlëscht, a wa Serveren do sinn, setzt et d’Match-Lëscht op dee leeren String. D’Resultat ass en Tunnel-Resolver, deen alles beäntwert, wat de System him schéckt, plus e Suffix, deen bei kuerzen Nimm hëlleft.

Also ass en Domain op där Zeil keen Nummraum-Selektor. Nach een dobäizemaachen engt net an, wéi eng Ufroen den Tunnel benotzt, an ewechzehuelen erweidert se och net. Dat eenzegt wat sech ännert ass, wéi vill kuerz Nimm vervollstännegt ginn.

Firwat all Numm nach ëmmer den Tunnel-Resolver erreecht

Mat dem eide Match-Entrée ass den Tunnel en Kandidat-Resolver fir gewéinlech Nimm, net just fir de Firmendomain. An enger Full-Tunnel-Konfiguratioun spillt dat meeschtens wéineg Roll, well den ganze Verkéier souwisou am Tunnel ass. An engem opgedeilten Tunnel spillt dat eng grouss Roll. Ëffentlech Nimm kënnen elo vun engem Resolver opgeléist ginn, deen just eng privat Zon huet, an e Feeler gesäit aus wéi en iwwerhëlt VPN, woubäi et tatsächlech en Resolver ass, deen nëmmen en Deel vum Nummraum beäntwert. Den Tunnel ass gutt, d’Ufroen ginn eraus, an d’Äntwerten kommen eidel zréck.

Et ginn zwou Reparaturen a si sinn ënnerschiddlech Entscheedungen. Maacht den Tunnel-Resolver zu engem komplette Resolver, deen ëffentlech Nimm iwwer den approuvéierte Wee weidergëtt, oder stoppt, ëffentlech Nimm dohinner ze schécken, andeems Dir d’Client-Konfiguratioun ännert an net d’Domainlëscht. Déi éischt hält all Ufro am Tunnel an traut dem Upstream. Déi zweet hält e puer Ufroen lokal a akzeptéiert, datt privat Nimm ophalen kënnen opgeléist ze ginn, während den Tunnel aus ass.

Wat en opgedeilten DNS tatsächlech brauch géif

Eng Resolver-Richtlinn, déi op en Nummraum begrenzt ass, brauch en Client, deen et Iech erlaabt, se auszedrécken: passt Domainen op Apple-Plattformen un, oder eng gläichwäerteg Astellung am Produkt, dat Dir benotzt. Eng Konfiguratiouns-Feld, dat just Serveren a Suffixen akzeptéiert, kann se net ausdrécken, egal wéi et gesat gëtt. E Profil kann d’Richtlinn droen, well et eng verwalt Konfiguratioun beschreift an net en Tipp zur Verbindungszäit. Et kann den Domain, d’Serveren an dat nennen, wat soll geschéien, wann deen Domain net erreechbar ass. Dat ass den Ënnerscheed tëschent enger Astellung an engem Kontrakt.

Op verwaltenten Apple-Geräter gëtt dat meeschtens iwwer e Konfiguratiounsprofil geliwwert, deen d’domainspezifesch DNS-Astellungen dréit. Dat ass en anere Mechanismus wéi eng WireGuard-Konfiguratiounsdatei, an déi zwou kënnen nëmmen zesumme bestoen, wann de Client de Profil respektéiert. Kuckt, wéi Äre Client d’Feld tatsächlech nennt, ier Dir unhëlt, datt déi zwou Produkter sech d’selwecht behuelen. E Skript mat wg-quick op engem Mac an d’WireGuard-App op engem iPhone liese ähnlech Zeilen an installéiere se iwwer verschidde Schichten.

Liest déi installéiert Astellungen, net d’Konfiguratioun

Op engem Mac kënnt Dir kucken, wou de System gelant ass, wat méi informativ ass wéi d’Datei, déi Dir geschriwwen hutt, nach eng Kéier ze liesen. D’Resolver-Lëscht weist, wéi eng Serveren fir wéi eng Domainen agestellt sinn, an déi begrenzt Ufroen weisen, wéi eng gewonnen huet. E Client, deen d’Zeil verbéit, weist et hei an net an der Datei, déi Dir geschriwwen hutt. Op iOS gëtt et keng gläichwäerteg Kommandozeil, dofir ass de Beweis do en Ergebnis: en private Numm, deen iwwer den Tunnel opgeléist gëtt, an en ëffentlechen Numm, deem seng Äntwert verréit, wéi ee Resolver geäntwert huet.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

Dës zwou Kommandos drécken déi aktuell Resolver-Konfiguratioun an d’DNS-Serveren fir den aktiven Service. Wann den Tunnel-Resolver als Standard-Resolver ouni Domain-Begrenzung erschéngt, mécht d’Konfiguratioun just dat, wat de Client gefrot huet. Behieft dat, andeems Dir den Mechanismus ännert, net andeems Dir en zweet Suffix dobäisetzt an hofft, datt d’Verhalen sech ännert.