Profil DNS w iOS a profil VPN: który z nich masz

Ktoś przysyła profil iPhone'a z uspokajającą nazwą, instaluje się w dwóch kliknięciach i nazwy wewnętrzne zaczynają się rozwiązywać. Czy ruch idzie także przez tunel, to osobne pytanie, a nazwa wyświetlana na nie nie odpowiada. Jeden profil może zawierać kilka payloadów, więc jedynym pewnym ruchem jest otworzyć go i przeczytać, co każdy payload konfiguruje. Lista jest krótka, nazwy payloadów są nudne, a odpowiedź zwykle staje się oczywista, gdy się je zobaczy. Zgadywanie z tytułu to sposób, w jaki ludzie zaczynają wierzyć, że ich ruch jest tunelowany, gdy tunelowane są tylko zapytania.

Otwórz listę payloadów, nie nagłówek

W iOS lista profili znajduje się w Ustawienia, Ogólne, VPN i zarządzanie urządzeniem, a każdy wpis otwiera inwentarz payloadów, a nie jeden przełącznik. Przeczytaj ten inwentarz: payload ustawień DNS, payload VPN, payload proxy, certyfikaty, Wi-Fi. Profil zawierający tylko ustawienia DNS nie jest tunelem, cokolwiek sugeruje jego nazwa, a profil z oboma wykonuje dwie różne prace naraz. Inwentarz to twierdzenie techniczne, a nagłówek to marketing.

Trzy pytania zamieniają inwentarz w decyzję. Czy zmienia się rozwiązywanie nazw, czy zmienia się publiczny adres źródłowy i które aplikacje obejmuje każdy efekt? Payload DNS odpowiada na pierwsze, payload VPN zwykle na drugie i trzecie, a cokolwiek twierdzi, że robi oba, powinien pokazać dwa payloady albo udokumentowane rozszerzenie.

Co naprawdę zmienia payload DNS

Payload DNS zmienia sposób rozwiązywania nazw w skonfigurowanym zakresie, co może oznaczać konkretny resolver, szyfrowany transport, taki jak DNS over HTTPS, albo ograniczony zestaw domen. Nie zmienia natomiast zwykle publicznego adresu źródłowego połączeń, więc witryny nadal widzą sieć, w której jesteś. Rozwiązywanie i routing to osobne mechanizmy i przesunął się tylko jeden z nich. Dlatego nazwa wewnętrzna może rozwiązać się poprawnie, a strona za nią odmawiać ładowania.

Payload DNS wprowadza też stronę, która odbiera twoje zapytania, a jeśli operator resolvera nie jest operatorem sieci, to nowy uczestnik ścieżki. Zanotuj to, bo zmienia to, kto widzi, o jakie nazwy pytasz. Sam z siebie nie ukrywa adresów docelowych, z którymi łączysz się później.

Co naprawdę zmienia payload VPN

Payload VPN ustanawia tunel i politykę tras, a w zależności od konfiguracji może przechwytywać cały ruch, tylko wymienione cele albo tylko wymienione aplikacje. Wykluczenia znaczą tyle samo co włączenia, bo profil pełnego tunelu z dwiema wykluczonymi domenami zachowuje się zupełnie inaczej, niż sugeruje nazwa. VPN per aplikacja może zostawić przeglądarkę całkowicie poza tunelem, podczas gdy plakietka na pasku stanu mówi połączono. Przeczytaj listy włączeń i wykluczeń, zanim zaufasz któremukolwiek słowu.

Adres źródłowy zmienia się tutaj, przynajmniej dla ruchu przechwytywanego przez tunel, i to jest praktyczna różnica, o którą większość ludzi naprawdę pyta. Wszystko inne to szczegóły o tym, który ruch.

Gdzie aplikacje Network Extension zacierają etykietę

Aplikacja może zainstalować własne Network Extension, którego zachowania lista profili oczywiście nie opisuje, więc nazwa marketingowa i wskaźnik na pasku stanu nie są inwentarzem. Otwórz własny ekran konfiguracji aplikacji obok payloadów profilu i porównaj oba. Przełącznik opisany jako ochrona może zmieniać tylko rozwiązywanie, a przełącznik opisany jako prywatny DNS może zmieniać tylko resolver. Gdzie oba źródła się nie zgadzają, wierz liście payloadów i zanotuj różnicę.

To także dlatego aplikacja może przejść szybki test w jednej sieci i zawieść na portalu przechwytującym, gdzie rozwiązywanie działa, a routing nie. Te dwa mechanizmy nigdy nie były tym samym.

Usuwanie właściwego obiektu i sprawdzanie nazw potem

Usuń konfigurację przez aplikację lub usługę zarządzania, która ją zainstalowała, używając udokumentowanych kroków Apple, a nie usuwając znalezione pliki. Usunięcie profilu może zabrać ze sobą powiązane ustawienia i dane, a profil zarządzany może odmówić odejścia, dopóki strona zarządzająca go nie zwolni. Usunięcie jednego payloadu DNS nie powinno nigdy wymagać zniszczenia niezwiązanej tożsamości VPN, od której urządzenie nadal zależy. Rozdziel obiekty, zanim cokolwiek usuniesz, a potem usuń tylko ten, który odpowiada za zachowanie, które próbujesz zatrzymać.

Potem sprawdź prywatne nazwy, od których zależy twoja praca, bo aplikacja organizacyjna może opierać się na resolverze, o którym publiczny DNS nigdy nie słyszał. Ta awaria zwykle ujawnia się jako błąd aplikacji, a nie błąd DNS, dlatego bywa błędnie diagnozowana. Przetestuj jedną nazwę wewnętrzną i jedną publiczną z tej samej aplikacji, a odpowiedź powie ci, który obiekt faktycznie usunąłeś.