DNS для VPN на iPhone: кто владеет настройкой, решает, где она действует

Введите адрес частного резолвера в настройки Wi-Fi iPhone, и он будет работать, пока телефон не покинет эту сеть, — именно тогда VPN и должен взять управление. Это первая ловушка мобильного DNS: место, куда вы ввели настройку, определяет её область действия, а область уже, чем предполагает большинство. Прежде чем что-то менять, ответьте на три вопроса о развёртывании, потому что ответы определяют, какой элемент управления нужно трогать. Относитесь к последовательности как к проектной проверке, а не как к охоте за настройками.

Три вопроса, прежде чем вводить адрес резолвера

Во-первых, какие имена действительно требуют особой обработки? Частная зона вроде corp.example — это пространство имён, а не один хост, и ответом должен быть домен, а не одна запись. Во-вторых, какой резолвер для неё авторитетен и кто владеет этой службой? В-третьих, какой путь делает этот резолвер доступным с телефона: туннель, маршрутизируемая сеть Wi-Fi или что-то совсем иное?

Если у любого из этих трёх нет владельца, остановитесь. Изменение DNS, сделанное без пространства имён, авторитетного источника и доступного пути, — это догадка, которая в сотовой сети провалится иначе, чем в офисе.

Запись DNS для Wi-Fi принадлежит этой сети Wi-Fi

Ручная конфигурация DNS в iOS хранится для каждой сети отдельно. Она действует, пока телефон подключён к этому SSID, и перестаёт действовать, когда нет, а значит, не может управлять сотовым трафиком или описывать, что делает клиент VPN. Править её, чтобы починить приложение, которое сбоит в сотовой сети, — значит менять настройку, которую сбойный путь никогда не читает.

Это не делает DNS для отдельных сетей бесполезным. Для домашней лаборатории или единственного офисного SSID это простейший способ добраться до внутреннего резолвера, и он честен насчёт своей границы.

Механизм DNS в VPN зависит от протокола и клиента

Поставщик пакетного туннеля в iOS может настраивать DNS через API настроек DNS от Apple, который открывает туннелю, владеющему соединением, адреса резолверов и сопоставление доменов. Собственная конфигурация IKEv2 может получать DNS через полезную нагрузку конфигурации IKE, когда шлюз её проталкивает, но применяет ли конкретный клиент полученное — это деталь реализации, которую нужно проверить. Клиент на основе приложения может полностью реализовать собственный путь разрешения.

Это разные точки интеграции, и результат одной из них не становится правилом для всех iPhone. Поддерживаемый механизм — это то, что профиль или поставщик документирует для используемого протокола.

Решайте по владению, а не по удобству

Если устройство управляется, владелец профиля должен доставлять настройку DNS вместе с конфигурацией VPN, чтобы повторная регистрация восстанавливала её без того, чтобы пользователь что-то помнил. Если туннелем владеет приложение поставщика, его экран настроек — место, куда смотреть, а его документация — авторитет в том, что он может разделять. Если телефон личный и потребность — одно внутреннее имя в одной сети, настройка для сети соразмерна.

Правило решения короткое: настройка принадлежит тому месту, где обеспечивается соединение. В любом другом месте это локальное исключение, которое сотрёт следующее изменение сети.

Проверяйте на путях, которые телефон действительно использует

Проверьте свежий запрос из приложения, которому нужно частное имя, в офисном Wi-Fi, в сотовой сети и при переходе между ними. Приложение с собственной интеграцией резолвера может пойти иным путём, чем система, поэтому проверяйте само приложение, а не вкладку браузера, которая случайно работает.

Когда частное имя не работает, сохраните точный текст ошибки и состояние профиля. Публичный резолвер, отвечающий, что имени не существует, даёт верный ответ на неверный вопрос, и добавлять его рядом с корпоративным резолвером — не проектирование пространства имён.

Наконец, храните проверенную политику вместе с источником подготовки. Следующее переподключение или регистрация должны восстановить ту же службу имён потому, что так сказал профиль, а не потому, что кто-то вспомнил правку, сделанную на одной точке доступа два года назад.