DNS za VPN na iPhoneu: ko posjeduje postavku određuje gdje se primjenjuje

Upišite adresu privatnog resolvera u Wi-Fi postavke iPhonea i ona će raditi dok telefon ne napusti tu mrežu, a upravo tada VPN treba preuzeti. To je prva zamka mobilnog DNS-a: mjesto na koje ste unijeli postavku određuje njezin doseg, a doseg je uži nego što većina pretpostavlja. Prije nego što bilo šta izmijenite, odgovorite na tri pitanja o postavljanju, jer odgovori određuju koje kontrole trebate dirati. Tretirajte slijed kao pregled dizajna, a ne kao lov na postavke.

Tri pitanja prije nego što upišete adresu resolvera

Prvo, koja imena zapravo zahtijevaju posebno rukovanje? Privatna zona poput corp.example je prostor imena, a ne jedan host, i odgovor bi trebao biti domena, a ne jedan zapis. Drugo, koji je resolver autoritativan za nju i ko posjeduje tu uslugu? Treće, koji put čini taj resolver dostupnim s telefona: tunel, rutirana Wi-Fi mreža ili nešto sasvim drugo?

Ako bilo koje od tih tri nema vlasnika, stanite. DNS promjena napravljena bez prostora imena, autoritativnog izvora i dostupnog puta je nagađanje koje će na mobilnoj mreži propasti drugačije nego u uredu.

DNS unos za Wi-Fi pripada toj Wi-Fi mreži

Ručna DNS konfiguracija na iOS-u pohranjuje se po mreži. Primjenjuje se dok je telefon povezan s tim SSID-om i prestaje se primjenjivati kad nije, što znači da ne može upravljati mobilnim prometom ni opisati što VPN klijent radi. Mijenjati je da biste popravili aplikaciju koja ne radi na mobilnoj mreži znači mijenjati postavku koju put kvara nikad ne čita.

To ne čini DNS po mreži beskorisnim. Za kućni laboratorij ili jedan uredski SSID to je najjednostavniji način da dosegnete interni resolver i pošten je glede svoje granice.

VPN-ov DNS mehanizam slijedi protokol i klijenta

Pružatelj paketnog tunela na iOS-u može konfigurirati DNS kroz Appleov API za DNS postavke, koji izlaže adrese resolvera i podudaranje domena tunelu koji posjeduje vezu. Izvorna IKEv2 konfiguracija može primiti DNS kroz IKE konfiguracijski payload kad je gateway pošalje, ali primjenjuje li dati klijent ono što primi, detalj je implementacije koji morate provjeriti. Klijent temeljen na aplikaciji može u potpunosti provesti vlastiti put razrješavanja.

To su različite točke integracije i rezultat jedne od njih ne postaje pravilo za sve iPhone uređaje. Podržani mehanizam je ono što profil ili pružatelj dokumentira za protokol koji se koristi.

Odlučite po vlasništvu, ne po udobnosti

Ako je uređaj pod upravljanjem, vlasnik profila trebao bi dostaviti DNS postavku s VPN konfiguracijom, tako da je ponovna registracija vrati bez toga da se korisnik bilo čega sjeća. Ako tunelom upravlja aplikacija pružatelja, njezin zaslon postavki je mjesto za provjeru, a njezina dokumentacija autoritet za ono što može razdvojiti. Ako je telefon osoban i potreba je jedno interno ime na jednoj mreži, postavka po mreži je razmjerna.

Pravilo odluke je kratko: postavka pripada tamo gdje se veza osigurava. Bilo gdje drugdje to je lokalna iznimka koju će sljedeća promjena mreže izbrisati.

Provjerite na putevima koje telefon stvarno koristi

Testirajte novi zahtjev iz aplikacije kojoj treba privatno ime, na Wi-Fi mreži u uredu, na mobilnoj mreži i tijekom prijelaza između njih. Aplikacija s vlastitom integracijom resolvera može ići drugim putem od sustava, zato testirajte samu aplikaciju, a ne karticu preglednika koja slučajno radi.

Kada privatno ime ne uspije, sačuvajte točan tekst greške i stanje profila. Javni resolver koji odgovori da ime ne postoji daje točan odgovor na pogrešno pitanje, a dodavanje takvog pored korporativnog resolvera nije dizajn prostora imena.

Na kraju, pohranite provjerenu politiku uz izvor provisioninga. Sljedeće ponovno povezivanje ili registracija trebali bi vratiti istu uslugu imena jer je profil tako rekao, a ne zato što se netko sjetio izmjene napravljene na jednoj pristupnoj točki prije dvije godine.