Профиль DNS для iOS против профиля VPN: что именно установлено у вас

Кто-то присылает профиль для iPhone с успокаивающим названием, он устанавливается в два касания, и внутренние имена начинают разрешаться. Передаётся ли трафик заодно через туннель — отдельный вопрос, и отображаемое имя на него не отвечает. Один профиль может нести несколько полезных нагрузок, поэтому единственный надёжный шаг — открыть его и прочитать, что настраивает каждая нагрузка. Список короткий, названия нагрузок скучные, и ответ обычно очевиден, как только вы их увидели. Догадки по заголовку — это путь, которым люди начинают верить, что их трафик идёт через туннель, тогда как через туннель идут только их запросы.

Откройте список нагрузок, а не заголовок

В iOS список профилей находится в разделе Настройки, Основные, VPN и Управление устройством, и каждая запись открывается не в один переключатель, а в перечень нагрузок. Прочитайте этот перечень: нагрузка настроек DNS, нагрузка VPN, нагрузка прокси, сертификаты, Wi-Fi. Профиль, несущий только настройки DNS, не является туннелем, как бы он ни назывался, а профиль с обоими выполняет две разные задачи сразу. Перечень — это техническое утверждение, а заголовок — маркетинг.

Три вопроса превращают перечень в решение. Меняется ли разрешение имён, меняется ли публичный исходный адрес и какие приложения охватывает каждый эффект? Нагрузка DNS отвечает на первый, нагрузка VPN обычно отвечает на второй и третий, а всё, что заявляет оба, должно показывать две нагрузки или документированное расширение.

Что на самом деле меняет нагрузка DNS

Нагрузка DNS меняет то, как разрешаются имена в пределах её настроенной области, а это может означать конкретный резолвер, зашифрованный транспорт вроде DNS over HTTPS или ограниченный набор доменов. Обычно она не меняет публичный исходный адрес ваших соединений, поэтому сайты по-прежнему видят сеть, в которой вы находитесь. Разрешение имён и маршрутизация — разные механизмы, и изменился только один из них. Поэтому внутреннее имя может разрешаться правильно, пока страница за ним отказывается загружаться.

Нагрузка DNS ещё и вводит сторону, которая получает ваши запросы, и если оператор резолвера не является оператором сети, это новый участник на пути. Заметьте это, потому что меняется то, кто может видеть, какие имена вы запрашиваете. Сама по себе она не скрывает адреса назначения, к которым вы подключаетесь потом.

Что на самом деле меняет нагрузка VPN

Нагрузка VPN создаёт туннель и политику маршрутизации, и в зависимости от настроек она может захватывать весь трафик, только перечисленные назначения или только перечисленные приложения. Исключения важны не меньше включений, ведь профиль с полным туннелем и двумя исключёнными доменами ведёт себя совсем не так, как подсказывает название. VPN для отдельных приложений может оставить браузер полностью вне туннеля, пока значок в строке состояния говорит «подключено». Прочитайте списки включённых и исключённых, прежде чем верить любому из этих двух слов.

Здесь исходный адрес действительно меняется, по крайней мере для трафика, который захватывает туннель, и это то практическое различие, о котором на самом деле спрашивает большинство. Всё остальное — подробности о том, какой именно трафик.

Где приложения Network Extension размывают ярлык

Приложение может установить собственное сетевое расширение, поведение которого список профилей явно не описывает, поэтому маркетинговое название и индикатор в строке состояния — не перечень. Откройте собственный экран настроек приложения рядом с нагрузками профиля и сравните их. Переключатель с надписью «защита» может менять только разрешение имён, а переключатель с надписью «частный DNS» может менять только резолвер. Там, где два источника расходятся, верьте перечню нагрузок и отметьте разницу.

Вот почему приложение может пройти быструю проверку в одной сети и не пройти на портале авторизации, где разрешение имён работает, а маршрутизация нет. Эти два механизма никогда не были одним и тем же.

Удалите нужный объект и проверьте имена после этого

Удалите конфигурацию через приложение или службу управления, которая её установила, используя описанные Apple шаги удаления вместо удаления найденных вами файлов. Удаление профиля может унести с собой связанные настройки и данные, а управляемый профиль может отказываться уходить, пока сторона управления не освободит его. Удаление одной нагрузки DNS никогда не должно требовать уничтожения несвязанной идентичности VPN, от которой устройство всё ещё зависит. Разделите объекты, прежде чем что-либо удалять, а затем удалите только тот, которому принадлежит поведение, которое вы пытаетесь остановить.

После этого проверьте частные имена, от которых зависит ваша работа, потому что корпоративное приложение может полагаться на резолвер, о котором публичный DNS никогда не слышал. Такой сбой обычно проявляется как ошибка приложения, а не как ошибка DNS, поэтому его неверно диагностируют. Проверьте одно внутреннее имя и одно публичное имя из одного и того же приложения, и ответ скажет вам, какой объект вы на самом деле удалили.