DNS-ul VPN pe iPhone: cine deține setarea decide unde se aplică

Introduceți o adresă de resolver privat în setările Wi-Fi ale unui iPhone și va funcționa până când telefonul părăsește acea rețea, exact momentul în care un VPN ar trebui să preia controlul. Aceasta este prima capcană în DNS mobil: locul în care ați introdus setarea îi definește sfera, iar sfera este mai îngustă decât presupun majoritatea. Înainte de a edita ceva, răspundeți la trei întrebări despre implementare, pentru că răspunsurile decid ce control ar trebui să atingeți. Tratați secvența ca o revizuire de proiectare, nu ca o vânătoare de setări.

Trei întrebări înainte de a tasta o adresă de resolver

În primul rând, ce nume au cu adevărat nevoie de tratament special? O zonă privată precum corp.example este un spațiu de nume, nu un singur host, iar răspunsul ar trebui să fie un domeniu și nu o singură înregistrare. În al doilea rând, ce resolver este autoritativ pentru ea și cine deține acel serviciu? În al treilea rând, ce cale face acel resolver accesibil de pe telefon: tunelul, o rețea Wi-Fi rutată sau cu totul altceva?

Dacă vreunul dintre aceste trei nu are proprietar, opriți-vă. O modificare DNS făcută fără un spațiu de nume, o sursă autoritativă și o cale accesibilă este o presupunere care va eșua altfel în rețeaua mobilă decât la birou.

O intrare DNS pentru Wi-Fi aparține acelei rețele Wi-Fi

Configurația manuală DNS pe iOS este stocată pe rețea. Se aplică în timp ce telefonul este asociat cu acel SSID și încetează să se aplice când nu este, ceea ce înseamnă că nu poate guverna traficul mobil sau descrie ce face un client VPN. Editarea ei pentru a repara o aplicație care eșuează în rețeaua mobilă înseamnă schimbarea unei setări pe care calea care eșuează nu o citește niciodată.

Asta nu face DNS-ul pe rețea inutil. Pentru un laborator acasă sau un singur SSID de birou, este cea mai simplă cale de a ajunge la un resolver intern și este onest cu privire la limita sa.

Mecanismul DNS al VPN urmează protocolul și clientul

Un furnizor de tunel de pachete pe iOS poate configura DNS prin API-ul de setări DNS al Apple, care expune adrese de resolver și potrivirea domeniilor tunelului care deține conexiunea. O configurație IKEv2 nativă poate primi DNS prin payload-ul de configurare IKE atunci când gateway-ul îl împinge, dar dacă un anumit client aplică ceea ce primește este un detaliu de implementare pe care trebuie să îl verificați. Un client bazat pe aplicație poate implementa în întregime propria cale de rezolvare.

Acestea sunt puncte de integrare diferite, iar rezultatul unuia dintre ele nu devine regulă pentru toate iPhone-urile. Mecanismul acceptat este ceea ce profilul sau furnizorul documentează pentru protocolul folosit.

Decideți după proprietate, nu după comoditate

Dacă dispozitivul este gestionat, proprietarul profilului ar trebui să livreze setarea DNS împreună cu configurația VPN, astfel încât o reînregistrare să o restaureze fără ca utilizatorul să își amintească ceva. Dacă o aplicație a furnizorului deține tunelul, ecranul ei de setări este locul unde trebuie privit, iar documentația ei este autoritatea cu privire la ce poate separa. Dacă telefonul este personal și nevoia este un nume intern într-o rețea, setarea pe rețea este proporțională.

Regula de decizie este scurtă: setarea aparține locului unde conexiunea este aprovizionată. Orice altundeva este o excepție locală pe care următoarea schimbare de rețea o va șterge.

Verificați pe căile pe care telefonul le folosește efectiv

Testați o cerere nouă din aplicația care are nevoie de numele privat, pe Wi-Fi la birou, în rețeaua mobilă și într-o tranziție între ele. O aplicație cu integrare proprie de resolver poate urma o cale diferită de sistem, așa că testați aplicația reală, nu o filă de browser care funcționează din întâmplare.

Când numele privat eșuează, păstrați eroarea exactă și starea profilului. Un resolver public care răspunde că numele nu există oferă un răspuns corect la întrebarea greșită, iar adăugarea lui lângă resolverul companiei nu este o proiectare a spațiului de nume.

În final, stocați politica verificată împreună cu sursa aprovizionării. Următoarea reconectare sau înregistrare ar trebui să restaureze același serviciu de nume pentru că profilul a spus asta, nu pentru că cineva și-a amintit de o modificare făcută pe un hotspot acum doi ani.