WireGuard DNS на iPhone: доменот е само суфикс за пребарување

Пишувате една линија со адреса на резолвер и домен на компанијата, очекувајќи само имињата во тој домен да го користат резолверот на тунелот. На Apple клиентот сега сите имиња одат таму, а кратките имиња во доменот исто така се решаваат. Линијата прави две одделни работи, и само едната е за тоа кои барања ги обработува тунелот. Другата е погодност за пишување што со посакувано читање е издигната во политика.

На што се разложува DNS линијата

Клиентот записот го чита како список и секој елемент го класифицира според формата. Сето она што личи на адреса станува DNS сервер; сето она што личи на домен станува суфикс за пребарување. Двете завршуваат во поставките на тунелот, но во различни полиња. Илустративна линија за тунел што носи приватен резолвер и еден внатрешен домен изгледа вака.

DNS = 10.24.8.53, lab.internal.example

Адресата го обезбедува резолверот. Доменот обезбедува суфикс што му овозможува на клиентот да напише кратко име, а на системот да го додаде остатокот пред да праша. Ниту еден од нив не кажува ништо за ограничување на резолверот на тој домен, а токму тоа го очекуваат луѓето и не го добиваат. Само едно поле на платформата може да го изрази тоа ограничување, и тоа не е ова поле.

Две Apple полиња, две различни задачи

Apple ја открива разликата во својот објект за DNS поставки. Списокот на домени за пребарување е документиран како списокот што се користи за квалификување на имиња на домаќини со една ознака: напишете голо име на домаќин и системот може по ред да го додаде секој суфикс. Тоа е правило за дополнување, не правило за рутирање. Ништо во тој список не одлучува кој сервер се прашува.

Списокот на домени за совпаѓање е друго својство. Тој одлучува кои именски простори ги користат овие DNS поставки, а празен запис значи стандардниот домен, а не еден конкретен суфикс. генератор на поставки за пакетен тунел на Apple клиентот го следи тој модел. Тој ги става анализираните суфикси за пребарување во списокот за пребарување, и кога има сервери, списокот за совпаѓање го поставува на празниот текстуален низ. Резултатот е резолвер на тунелот што одговара на сето она што системот му праќа, плус суфикс што помага со кратките имиња.

Значи, доменот на таа линија не е избирач на именски простор. Додавањето уште еден не ги стеснува барањата што ги користи тунелот, а отстранувањето исто така не ги проширува. Единственото што се менува е колку кратки имиња се дополнуваат.

Зошто секое име уште стигнува до резолверот на тунелот

Со празниот запис за совпаѓање, тунелот е кандидат-резолвер за обичните имиња, не само за доменот на компанијата. Во поставка на целосен тунел ова обично малку значи, бидејќи целиот сообраќај е во тунелот. Во поделен тунел ова е многу важно. Јавните имиња сега може да ги реши резолвер што држи само приватна зона, а неуспехот изгледа како расипан VPN, кога всушност е резолвер што одговара само на дел од именскиот простор. Тунелот е во ред, барањата излегуваат, а одговорите се враќаат празни.

Достапни се две поправки и тие се различни одлуки. Направете го резолверот на тунелот целосен резолвер што ги препраќа јавните имиња по одобрениот пат, или престанете да праќате јавни имиња таму со менување на конфигурацијата на клиентот, а не на списокот на домени. Првата го задржува секое барање на тунелот и му верува на горниот тек. Втората задржува некои барања локално и прифаќа дека приватните имиња може да престанат да се решаваат додека тунелот е исклучен.

Што всушност би барал поделениот DNS

Политика на резолвер ограничена на именски простор бара клиент што ви дозволува да ја изразите: совпаѓајте домени на Apple платформи, или еквивалентна поставка во производот што го користите. Поле за конфигурација што прифаќа само сервери и суфикси не може да ја изрази, без разлика како е интерпунктирано. Профилот може да ја носи политиката, бидејќи опишува управувана конфигурација, а не навестување во моментот на поврзување. Може да го именува доменот, серверите и што треба да се случи кога тој домен е недостапен. Тоа е разликата меѓу поставка и договор.

На управувани Apple уреди ова обично се доставува преку конфигурациски профил што ги носи DNS поставките специфични за доменот. Тоа е различен механизам од конфигурациската датотека на WireGuard, и двете можат да постојат заедно само ако клиентот го почитува профилот. Проверете како вашиот клиент всушност го нарекува полето пред да претпоставите дека двата производи се однесуваат исто. Скрипта wg-quick на Mac и апликацијата WireGuard на iPhone читаат слични линии и ги инсталираат низ различни слоеви.

Читајте ги инсталираните поставки, а не конфигурацијата

На Mac можете да проверите до што стигнал системот, што е поинформативно од повторното читање на датотеката што сте ја напишале. Списокот на резолвери покажува кои сервери се конфигурирани за кои домени, а ограничените барања покажуваат кое победило. Клиент што ја расипува линијата го покажува тоа овде, а не во датотеката што сте ја напишале. На iOS нема еквивалентна командна линија, па доказот таму е резултат: приватно име што се решава преку тунелот, и јавно име чиј одговор открива кој резолвер одговорил.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

Овие две команди ја печатат тековната конфигурација на резолверот и DNS серверите за активната служба. Ако резолверот на тунелот се појавува како стандарден резолвер без ограничување на домен, конфигурацијата го прави точно она што клиентот го побарал. Поправете го тоа со менување на механизмот, а не со додавање втор суфикс и надеж дека однесувањето ќе се промени.