DNS da VPN no iPhone: quem é dono do ajuste decide onde ele se aplica

Digite um endereço de resolvedor privado nos ajustes de Wi-Fi de um iPhone e ele funcionará até o telefone sair daquela rede, que é exatamente quando uma VPN deve assumir. Essa é a primeira armadilha do DNS móvel: o local onde você inseriu o ajuste define seu escopo, e o escopo é mais estreito do que a maioria supõe. Antes de editar qualquer coisa, responda a três perguntas sobre a implantação, porque as respostas decidem qual controle você deve tocar. Trate a sequência como uma revisão de projeto e não como uma caça aos ajustes.

Três perguntas antes de digitar um endereço de resolvedor

Primeiro, quais nomes realmente precisam de tratamento especial? Uma zona privada como corp.example é um espaço de nomes, não um único host, e a resposta deve ser um domínio e não um único registro. Segundo, qual resolvedor é autoritativo para ela, e quem é dono desse serviço? Terceiro, qual caminho torna esse resolvedor alcançável a partir do telefone: o túnel, uma rede Wi-Fi roteada ou algo completamente diferente?

Se algum desses três não tiver dono, pare. Uma mudança de DNS feita sem um espaço de nomes, uma fonte autoritativa e um caminho alcançável é um palpite que falhará de forma diferente na rede celular do que no escritório.

Uma entrada DNS de Wi-Fi pertence àquela rede Wi-Fi

A configuração manual de DNS no iOS é armazenada por rede. Ela se aplica enquanto o telefone está associado a esse SSID e deixa de se aplicar quando não está, o que significa que não pode governar o tráfego celular nem descrever o que um cliente VPN faz. Editá-la para consertar um aplicativo que falha na rede celular é mudar um ajuste que o caminho que falha nunca lê.

Isso não torna o DNS por rede inútil. Para um laboratório doméstico ou um único SSID de escritório, é a forma mais simples de alcançar um resolvedor interno, e é honesto sobre sua fronteira.

O mecanismo DNS da VPN segue o protocolo e o cliente

Um provedor de túnel de pacotes no iOS pode configurar DNS pela API de ajustes de DNS da Apple, que expõe endereços de resolvedor e correspondência de domínios ao túnel que possui a conexão. Uma configuração IKEv2 nativa pode receber DNS pela carga de configuração IKE quando o gateway a envia, mas se um determinado cliente aplica o que recebe é um detalhe de implementação que você precisa verificar. Um cliente baseado em aplicativo pode implementar totalmente seu próprio caminho de resolução.

São pontos de integração diferentes, e o resultado de um deles não se torna regra para todos os iPhones. O mecanismo suportado é o que o perfil ou o provedor documenta para o protocolo em uso.

Decida por propriedade, não por conveniência

Se o dispositivo é gerenciado, o dono do perfil deve entregar o ajuste de DNS junto com a configuração da VPN, para que um novo registro o restaure sem que o usuário precise lembrar de nada. Se um aplicativo do provedor possui o túnel, a tela de ajustes dele é o lugar de olhar, e sua documentação é a autoridade sobre o que ele pode separar. Se o telefone é pessoal e a necessidade é um nome interno em uma rede, o ajuste por rede é proporcional.

A regra de decisão é curta: o ajuste pertence a onde a conexão é provisionada. Em qualquer outro lugar, é uma exceção local que a próxima mudança de rede apagará.

Verifique nos caminhos que o telefone realmente usa

Teste uma requisição nova do aplicativo que precisa do nome privado, no Wi-Fi do escritório, na rede celular e numa transição entre os dois. Um aplicativo com integração própria de resolvedor pode seguir um caminho diferente do sistema, então teste o aplicativo real e não uma aba do navegador que funciona por acaso.

Quando o nome privado falha, guarde o erro exato e o estado do perfil. Um resolvedor público que responde que o nome não existe dá uma resposta correta à pergunta errada, e adicioná-lo ao lado do resolvedor da empresa não é um projeto de espaço de nomes.

Por fim, guarde a política verificada junto com a fonte de provisionamento. A próxima reconexão ou registro deve restaurar o mesmo serviço de nomes porque o perfil disse isso, não porque alguém lembrou de uma edição feita num ponto de acesso há dois anos.