iPhone дээрх WireGuard DNS: домэйн бол зөвхөн хайлтын дагавар

Та шийдэгчийн хаяг болон компанийн домэйн бүхий нэг мөр бичээд, зөвхөн тухайн домэйны нэрс туннелийн шийдэгчийг ашиглана гэж хүлээж байна. Apple клиент дээр одоо бүх нэр тэнд явж, домэйны богино нэрс ч шийдэгддэг. Мөр нь хоёр өөр зүйл хийдэг бөгөөд зөвхөн нэг нь туннель ямар асуулгыг боловсруулахтай холбоотой. Нөгөө нь бичихэд хялбар байдал бөгөөд хүсэмжит уншлагаар бодлого болтлоо дээшилсэн.

DNS мөр юу болж задардаг вэ

Клиент бичлэгийг жагсаалт болгон уншиж, элемент бүрийг хэлбэрээр нь ангилдаг. Хаяг шиг харагдах бүхэн DNS сервер болно; домэйн шиг харагдах бүхэн хайлтын дагавар болно. Хоёулаа туннелийн тохиргоонд ордог боловч өөр талбарт. Хувийн шийдэгч болон нэг дотоод домэйн агуулсан туннелийн жишээ мөр ийм харагдана.

DNS = 10.24.8.53, lab.internal.example

Хаяг нь шийдэгчийг өгдөг. Домэйн нь клиентэд богино нэр бичих боломж олгож, системд асуухаас өмнө үлдсэнийг нэмэх дагавар өгдөг. Аль нь ч шийдэгчийг тухайн домэйноор хязгаарлах тухай юу ч хэлэхгүй бөгөөд хүмүүсийн хүлээж байгаа ч авч чадахгүй байгаа хэсэг нь яг энэ. Платформ дээр зөвхөн нэг талбар тэр хязгаарлалтыг илэрхийлж чадах бөгөөд энэ нь тэр талбар биш.

Apple-ийн хоёр талбар, хоёр өөр ажил

Apple уг ялгааг өөрийн DNS тохиргооны объектод илрүүлдэг. Хайлтын домэйны жагсаалтыг нэг шошготой хост нэрийг мэргэшүүлэхэд хэрэглэдэг жагсаалт гэж баримтжуулсан: нүцгэн хост нэр бичвэл систем дагавар бүрийг ээлжлэн нэмж болно. Энэ нь гүйцээх дүрэм бөгөөд чиглүүлэлтийн дүрэм биш. Тэр жагсаалтад аль серверээс асуухыг юу ч шийдэхгүй.

Тохирлын домэйны жагсаалт нь өөр шинж чанар. Аль нэрийн орон зай энэ DNS тохиргооны багцыг ашиглахыг шийдэж, хоосон бичлэг нь тодорхой нэг дагавар биш, анхдагч домэйныг илэрхийлнэ. пакет туннелийн тохиргооны үүсгэгч Apple клиент дээр тэр загварыг дагадаг. Шинжилсэн хайлтын дагавруудыг хайлтын жагсаалтад хийж, сервер байвал тохирлын жагсаалтыг хоосон мөр болгоно. Үр дүн нь системийн илгээсэн бүхэнд хариулах туннелийн шийдэгч, мөн богино нэрст туслах дагавар юм.

Тиймээс тэр мөрөнд байгаа домэйн нь нэрийн орон зайн сонгогч биш. Өөр нэгийг нэмэх нь туннелийн ашиглах асуулгыг нарийсгахгүй, хасах нь тэдгээрийг өргөтгөхгүй. Өөрчлөгдөх цорын ганц зүйл бол хэдэн богино нэр гүйцээгдэх вэ.

Яагаад нэр бүр одоо ч туннелийн шийдэгчид хүрдэг вэ

Хоосон тохирлын бичлэгтэй үед туннель нь зөвхөн компанийн домэйн биш, энгийн нэрсийн хувьд нэр дэвшигч шийдэгч юм. Бүрэн туннелийн тохиргоонд энэ нь ихэвчлэн бага ач холбогдолтой, учир нь бүх урсгал аль хэдийн туннельд байдаг. Хуваагдсан туннельд энэ нь маш чухал. Нийтийн нэрсийг одоо зөвхөн хувийн бүс хадгалдаг шийдэгч шийдэж болох бөгөөд алдаа нь эвдэрсэн VPN мэт харагдах боловч үнэндээ энэ нь нэрийн орон зайн зөвхөн нэг хэсэгт хариулдаг шийдэгч юм. Туннель хэвийн, асуулгууд гарч, хариултууд хоосон буцаж ирнэ.

Хоёр засвар боломжтой бөгөөд тэдгээр нь өөр шийдвэрүүд. Туннелийн шийдэгчийг нийтийн нэрсийг зөвшөөрөгдсөн замаар дамжуулдаг бүрэн шийдэгч болго, эсвэл домэйны жагсаалтын оронд клиентийн тохиргоог өөрчилж нийтийн нэрсийг тэнд илгээхээ болино уу. Эхнийх нь асуулга бүрийг туннельд байлгаж, дээд урсгалд итгэдэг. Хоёр дахь нь зарим асуулгыг локал байлгаж, туннель унтарсан үед хувийн нэрс шийдэгдэхээ болихыг хүлээн зөвшөөрдөг.

Хуваагдсан DNS-д үнэндээ юу хэрэгтэй вэ

Нэрийн орон зайгаар хязгаарлагдсан шийдэгчийн бодлого нь үүнийг илэрхийлэх боломж олгодог клиентийг шаарддаг: Apple платформ дээр домэйнуудыг тохируул, эсвэл ашиглаж буй бүтээгдэхүүн дэх ижил тохиргоо. Зөвхөн сервер, дагавар хүлээж авдаг тохиргооны талбар үүнийг хэрхэн цэг тавьсан ч илэрхийлж чадахгүй. Профайл уг бодлогыг агуулж болно, учир нь энэ нь холбогдох үеийн зөвлөмж биш, удирдлагатай тохиргоог тодорхойлдог. Энэ нь домэйн, серверүүд болон тэр домэйн хүрэхгүй үед юу болох ёстойг нэрлэж чадна. Энэ бол тохиргоо ба гэрээний ялгаа.

Удирдлагатай Apple төхөөрөмж дээр үүнийг ихэвчлэн домэйнд тусгай DNS тохиргоог агуулсан тохиргооны профайлаар хүргэдэг. Энэ нь WireGuard тохиргооны файлаас өөр механизм бөгөөд клиент профайлыг хүндэтгэсэн тохиолдолд л хоёулаа хамт оршин тогтноно. Хоёр бүтээгдэхүүн ижил ажилладаг гэж үзэхээс өмнө клиент талбарыг үнэндээ юу гэж нэрлэдэгийг шалгаарай. Mac дээрх wg-quick скрипт болон iPhone дээрх WireGuard апп ижил төстэй мөрүүдийг уншиж, тэдгээрийг өөр өөр давхаргаар суулгадаг.

Суулгасан тохиргоог уншаарай, конфигурацийг биш

Mac дээр систем эцэст нь юун дээр ирснийг шалгаж болох бөгөөд энэ нь таны бичсэн файлыг дахин уншихаас илүү мэдээлэлтэй. Шийдэгчдийн жагсаалт аль сервер аль домэйнд тохируулагдсаныг харуулж, хязгаарлагдсан асуулгууд аль нь ялсныг харуулна. Мөрийг эвддэг клиент үүнийг таны бичсэн файлд биш, энд харуулна. iOS дээр ижил төстэй командын мөр байхгүй тул тэндхийн нотолгоо бол үр дүн: туннелээр шийдэгдэх хувийн нэр, хариулт нь аль шийдэгч хариулсныг илчилдэг нийтийн нэр.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

Эдгээр хоёр команд нь одоогийн шийдэгчийн тохиргоо болон идэвхтэй үйлчилгээний DNS серверүүдийг хэвлэнэ. Хэрэв туннелийн шийдэгч домэйны хязгаарлалтгүй анхдагч шийдэгч болж харагдвал, тохиргоо клиентийн хүссэнийг яг хийдэг. Үүнийг механизмыг өөрчилж зас, хоёр дахь дагавар нэмээд зан төлөв өөрчлөгдөнө гэж найдахгүй.