VPN-DNS op de iPhone: wie de instelling bezit bepaalt waar die geldt

Voert u een privé-resolveradres in bij de Wi-Fi-instellingen van een iPhone, dan werkt het tot de telefoon dat netwerk verlaat, precies het moment waarop een VPN het zou moeten overnemen. Dat is de eerste valkuil in mobiele DNS: de plek waar u de instelling hebt ingevoerd bepaalt de reikwijdte, en die reikwijdte is smaller dan de meeste mensen aannemen. Beantwoord voordat u iets wijzigt drie vragen over de uitrol, want de antwoorden bepalen welk bedieningselement u moet aanraken. Behandel de volgorde als een ontwerpreview en niet als een speurtocht naar instellingen.

Drie vragen voordat u een resolveradres typt

Ten eerste, welke namen hebben werkelijk speciale behandeling nodig? Een privé-zone zoals corp.example is een naamruimte, niet één host, en het antwoord zou een domein moeten zijn en niet één record. Ten tweede, welke resolver is ervoor bevoegd, en wie bezit die dienst? Ten derde, welk pad maakt die resolver bereikbaar vanaf de telefoon: de tunnel, een gerouteerd Wi-Fi-netwerk of iets heel anders?

Als een van die drie geen eigenaar heeft, stop. Een DNS-wijziging zonder naamruimte, bevoegde bron en bereikbaar pad is een gok die op mobiel anders zal mislukken dan op kantoor.

Een Wi-Fi-DNS-vermelding hoort bij dat Wi-Fi-netwerk

De handmatige DNS-configuratie op iOS wordt per netwerk opgeslagen. Ze geldt zolang de telefoon met dat SSID is verbonden en geldt niet meer als dat niet zo is, wat betekent dat ze geen mobiel verkeer kan beheren of kan beschrijven wat een VPN-client doet. Haar aanpassen om een app te repareren die op mobiel mislukt, is een instelling wijzigen die het falende pad nooit leest.

Dat maakt DNS per netwerk niet nutteloos. Voor een homelab of één kantoorspecifiek SSID is het de eenvoudigste manier om een interne resolver te bereiken, en het is eerlijk over zijn grens.

Het DNS-mechanisme van de VPN volgt het protocol en de client

Een packet-tunnelprovider op iOS kan DNS configureren via Apple's API voor DNS-instellingen, die resolveradressen en domeinmatching beschikbaar stelt aan de tunnel die de verbinding bezit. Een native IKEv2-configuratie kan DNS ontvangen via de IKE-configuratielading wanneer de gateway die pusht, maar of een bepaalde client toepast wat hij ontvangt is een implementatiedetail dat u moet verifiëren. Een app-gebaseerde client kan zijn eigen resolutiepad volledig implementeren.

Dat zijn verschillende integratiepunten, en een resultaat van een ervan wordt geen regel voor alle iPhones. Het ondersteunde mechanisme is wat het profiel of de provider documenteert voor het gebruikte protocol.

Beslis op basis van eigenaarschap, niet gemak

Als het apparaat wordt beheerd, zou de profieleigenaar de DNS-instelling met de VPN-configuratie moeten leveren, zodat een nieuwe inschrijving haar herstelt zonder dat een gebruiker iets hoeft te onthouden. Als een provider-app de tunnel bezit, is het instellingenscherm daarvan de plek om te kijken, en de documentatie ervan is de autoriteit over wat hij kan splitsen. Als de telefoon persoonlijk is en de behoefte één interne naam op één netwerk is, is de instelling per netwerk proportioneel.

De beslissingsregel is kort: de instelling hoort waar de verbinding wordt ingericht. Overal elders is het een lokale uitzondering die de volgende netwerkwijziging zal wissen.

Verifieer op de paden die de telefoon werkelijk gebruikt

Test een nieuw verzoek vanuit de app die de privé-naam nodig heeft, op Wi-Fi op kantoor, op mobiel en over een overgang tussen beide. Een app met een eigen resolverintegratie kan een ander pad volgen dan het systeem, dus test de werkelijke toepassing en niet een browsertab die toevallig werkt.

Wanneer de privé-naam faalt, bewaar dan de exacte fout en de profielstatus. Een openbare resolver die antwoordt dat de naam niet bestaat, geeft een correct antwoord op de verkeerde vraag, en hem naast de bedrijfsresolver zetten is geen naamruimteontwerp.

Sla ten slotte het geverifieerde beleid op samen met de inrichtingsbron. De volgende herverbinding of inschrijving zou dezelfde naamdienst moeten herstellen omdat het profiel dat zei, niet omdat iemand zich een wijziging op één hotspot van twee jaar geleden herinnerde.