Perfil DNS no iOS versus perfil VPN: qual você tem

Alguém envia um perfil de iPhone com um nome tranquilizador, ele se instala em dois toques e nomes internos começam a resolver. Se o tráfego também passa por um túnel é outra pergunta, e o nome exibido não a responde. Um perfil pode carregar vários payloads, então o único movimento confiável é abri-lo e ler o que cada payload configura. A lista é curta, os nomes dos payloads são sem graça, e a resposta costuma ficar óbvia depois de vê-los. Adivinhar pelo título é como as pessoas passam a acreditar que seu tráfego está em túnel quando só as consultas estão.

Abra a lista de payloads, não o cabeçalho

No iOS a lista de perfis fica em Ajustes, Geral, VPN e Gerenciamento de Dispositivo, e cada entrada abre um inventário de payloads em vez de um único interruptor. Leia esse inventário: um payload de ajustes de DNS, um payload de VPN, um payload de proxy, certificados, Wi-Fi. Um perfil que carrega apenas ajustes de DNS não é um túnel, seja qual for o nome que sugira, e um que carrega ambos faz dois trabalhos diferentes ao mesmo tempo. O inventário é a afirmação técnica, e o cabeçalho é marketing.

Três perguntas transformam o inventário em decisão. A resolução de nomes muda, o endereço de origem público muda, e quais aplicativos cada efeito cobre? Um payload de DNS responde à primeira, um payload de VPN costuma responder à segunda e à terceira, e qualquer coisa que afirme as duas deve mostrar dois payloads ou uma extensão documentada.

O que um payload de DNS realmente muda

Um payload de DNS muda como os nomes são resolvidos dentro do escopo configurado, o que pode significar um resolver específico, um transporte criptografado como DNS over HTTPS, ou um conjunto restrito de domínios. O que ele normalmente não muda é o endereço de origem público das suas conexões, então os sites ainda veem a rede em que você está. Resolução e roteamento são mecanismos separados, e apenas um deles se moveu. É por isso que um nome interno pode resolver corretamente enquanto a página por trás dele se recusa a carregar.

Um payload de DNS também introduz uma parte que recebe suas consultas, e se o operador do resolver não é o operador da rede, isso é um novo participante no caminho. Anote isso, porque muda quem pode ver quais nomes você pede. Por si só, não esconde os endereços de destino aos quais você se conecta depois.

O que um payload de VPN realmente muda

Um payload de VPN estabelece um túnel e uma política de rotas, e dependendo de como é configurado pode capturar todo o tráfego, apenas destinos listados, ou apenas aplicativos listados. As exclusões importam tanto quanto as inclusões, já que um perfil de túnel completo com dois domínios excluídos não se comporta nada como o nome sugere. VPN por aplicativo pode deixar o navegador totalmente fora do túnel enquanto o selo na barra de status diz conectado. Leia as listas de inclusão e exclusão antes de confiar em qualquer das duas palavras.

O endereço de origem muda aqui, pelo menos para o tráfego que o túnel captura, e essa é a distinção prática que a maioria das pessoas realmente está perguntando. Todo o resto é detalhe sobre qual tráfego.

Onde apps de Network Extension borram o rótulo

Um aplicativo pode instalar sua própria Network Extension cujo comportamento a lista de perfis não descreve claramente, então o nome de marketing e o indicador da barra de status não são um inventário. Abra a tela de configuração do próprio aplicativo ao lado dos payloads do perfil e compare as duas. Um interruptor rotulado como proteção pode mudar apenas a resolução, e um interruptor rotulado como DNS privado pode mudar apenas o resolver. Onde as duas fontes discordam, acredite na lista de payloads e anote a diferença.

É também por isso que um aplicativo pode passar num teste rápido em uma rede e falhar num portal cativo, onde a resolução funciona e o roteamento não. Os dois mecanismos nunca foram a mesma coisa.

Remover o objeto certo e verificar os nomes depois

Remova uma configuração pelo aplicativo ou pelo serviço de gerenciamento que a instalou, usando as etapas de remoção documentadas pela Apple em vez de apagar arquivos que você encontrou. Apagar um perfil pode levar junto ajustes e dados associados, e um perfil gerenciado pode se recusar a sair até que o lado de gerenciamento o libere. Remover um payload de DNS nunca deveria exigir destruir uma identidade VPN não relacionada da qual o dispositivo ainda depende. Separe os objetos antes de apagar qualquer coisa, e então remova apenas aquele que é dono do comportamento que você quer parar.

Depois, verifique os nomes privados dos quais seu trabalho depende, porque um aplicativo organizacional pode depender de um resolver que o DNS público nunca ouviu falar. Essa falha costuma aparecer como erro do aplicativo e não como erro de DNS, e é por isso que é mal diagnosticada. Teste um nome interno e um nome público a partir do mesmo aplicativo, e a resposta dirá qual objeto você realmente removeu.