iOS DNS-profiel versus VPN-profiel: welke hebt u?

Iemand stuurt een iPhone-profiel met een geruststellende naam, het installeert in twee tikken, en interne namen beginnen te resolven. Of verkeer ook door een tunnel gaat, is een aparte vraag, en de weergavenaam beantwoordt die niet. Eén profiel kan meerdere payloads bevatten, dus de enige betrouwbare stap is het openen en lezen wat elke payload configureert. De lijst is kort, de payloadnamen zijn saai, en het antwoord is meestal duidelijk zodra u ze hebt gezien. Raden op basis van de titel is hoe mensen gaan geloven dat hun verkeer getunneld is terwijl alleen hun opzoekingen dat zijn.

Open de payloadlijst, niet de kop

Op iOS staat de profielenlijst onder Instellingen, Algemeen, VPN en Apparaatbeheer, en elk item opent naar een payloadinventaris in plaats van naar één schakelaar. Lees die inventaris: een payload voor DNS-instellingen, een VPN-payload, een proxypayload, certificaten, Wi-Fi. Een profiel met alleen DNS-instellingen is geen tunnel, wat de naam ook suggereert, en een profiel met beide doet twee verschillende taken tegelijk. De inventaris is de technische bewering, en de kop is marketing.

Drie vragen maken van de inventaris een beslissing. Verandert de naamresolutie, verandert het publieke bronadres, en welke toepassingen dekt elk effect? Een DNS-payload beantwoordt de eerste, een VPN-payload meestal de tweede en derde, en iets dat beide claimt hoort twee payloads of een gedocumenteerde uitbreiding te tonen.

Wat een DNS-payload werkelijk verandert

Een DNS-payload verandert hoe namen worden geresolved binnen het bereik dat hij configureert, wat een specifieke resolver kan betekenen, een versleuteld transport zoals DNS over HTTPS, of een beperkte set domeinen. Wat hij normaal niet verandert, is het publieke bronadres van uw verbindingen, dus websites zien nog steeds het netwerk waarop u zit. Resolutie en routering zijn aparte mechanismen, en slechts één ervan is verschoven. Daarom kan een interne naam correct resolven terwijl de pagina erachter weigert te laden.

Een DNS-payload introduceert ook een partij die uw queries ontvangt, en als de resolverexploitant niet de netwerkexploitant is, is dat een nieuwe deelnemer in het pad. Noteer het, want het verandert wie kan zien welke namen u opvraagt. Het verbergt op zichzelf niet de bestemmingsadressen waarmee u daarna verbinding maakt.

Wat een VPN-payload werkelijk verandert

Een VPN-payload brengt een tunnel en een routebeleid tot stand, en afhankelijk van de configuratie kan hij al het verkeer vangen, alleen genoemde bestemmingen, of alleen genoemde toepassingen. Uitsluitingen wegen even zwaar als insluitingen, want een full-tunnelprofiel met twee uitgesloten domeinen gedraagt zich heel anders dan de naam suggereert. Per-app VPN kan de browser volledig buiten de tunnel laten terwijl de badge in de statusbalk verbonden zegt. Lees de ingesloten en uitgesloten lijsten voordat u een van beide woorden vertrouwt.

Het bronadres verandert hier wel, althans voor het verkeer dat de tunnel vangt, en dat is het praktische onderscheid waar de meeste mensen eigenlijk naar vragen. Al het andere is detail over welk verkeer.

Waar Network Extension-apps het label vertroebelen

Een app kan zijn eigen Network Extension installeren waarvan de profielenlijst het gedrag niet duidelijk beschrijft, dus de marketingnaam en de indicator in de statusbalk zijn geen inventaris. Open het configuratiescherm van de app naast de profielpayloads en vergelijk de twee. Een schakelaar met het label bescherming kan alleen de resolutie omzetten, en een schakelaar met het label private DNS kan alleen de resolver veranderen. Waar de twee bronnen het oneens zijn, geloof de payloadlijst en noteer het verschil.

Daarom kan een app ook een snelle test op het ene netwerk doorstaan en falen op een captive portal, waar resolutie werkt en routering niet. De twee mechanismen waren nooit hetzelfde ding.

Het juiste object verwijderen, en daarna de namen controleren

Verwijder een configuratie via de app of de beheerdienst die hem heeft geïnstalleerd, met Apple's gedocumenteerde verwijderstappen in plaats van gevonden bestanden te verwijderen. Het verwijderen van een profiel kan bijbehorende instellingen en gegevens meenemen, en een beheerd profiel kan weigeren te vertrekken tot de beheerkant het vrijgeeft. Het verwijderen van één DNS-payload mag nooit vereisen dat een niet-verwante VPN-identiteit wordt vernietigd waar het apparaat nog van afhangt. Scheid de objecten voordat u iets verwijdert, en verwijder dan alleen het object dat het gedrag bezit dat u wilt stoppen.

Controleer daarna de privénamen waarvan uw werk afhangt, want een organisatie-app kan vertrouwen op een resolver waarvan publieke DNS nog nooit heeft gehoord. Die fout komt meestal naar boven als een applicatiefout in plaats van een DNS-fout, waardoor ze verkeerd wordt gediagnosticeerd. Test één interne naam en één publieke naam vanuit dezelfde app, en het antwoord vertelt u welk object u werkelijk hebt verwijderd.