DNS pre VPN na iPhone: kto vlastní nastavenie, určuje, kde platí

Zadajte adresu súkromného resolvera do nastavení Wi-Fi iPhonu a bude fungovať, kým telefón neopustí túto sieť, čo je presne chvíľa, keď má prevziať VPN. To je prvá pasca mobilného DNS: miesto, kde ste nastavenie zadali, určuje jeho rozsah, a rozsah je užší, než väčšina predpokladá. Pred akoukoľvek úpravou odpovedzte na tri otázky o nasadení, pretože odpovede určujú, ktorý ovládací prvok by ste sa mali dotknúť. Berte to ako návrhovú revíziu, nie ako hon na nastavenia.

Tri otázky pred zadaním adresy resolvera

Po prvé, ktoré názvy skutočne vyžadujú špeciálne zaobchádzanie? Súkromná zóna ako corp.example je menný priestor, nie jediný hostiteľ, a odpoveďou má byť doména, nie jediný záznam. Po druhé, ktorý resolver je pre ňu autoritatívny a kto túto službu vlastní? Po tretie, ktorá cesta robí tento resolver dostupným z telefónu: tunel, smerovaná sieť Wi-Fi alebo niečo úplne iné?

Ak niektorý z tých troch nemá vlastníka, zastavte sa. Zmena DNS vykonaná bez menného priestoru, autoritatívneho zdroja a dostupnej cesty je odhad, ktorý v mobilnej sieti zlyhá inak ako v kancelárii.

DNS záznam pre Wi-Fi patrí tejto sieti Wi-Fi

Ručná konfigurácia DNS v iOS sa ukladá pre každú sieť zvlášť. Platí, kým je telefón pripojený k danému SSID, a prestáva platiť, keď nie je, čo znamená, že nemôže riadiť mobilnú prevádzku ani opisovať, čo robí klient VPN. Upravovať ju, aby ste opravili aplikáciu, ktorá v mobilnej sieti zlyháva, znamená meniť nastavenie, ktoré zlyhávajúca cesta nikdy nečíta.

To nerobí DNS pre jednotlivé siete zbytočným. Pre domáce laboratórium alebo jediné kancelárske SSID je to najjednoduchší spôsob, ako sa dostať k internému resolveru, a je čestný ohľadom svojej hranice.

DNS mechanizmus VPN závisí od protokolu a klienta

Poskytovateľ paketového tunela v iOS môže konfigurovať DNS cez Apple API pre nastavenia DNS, ktoré tunelu vlastniacemu spojenie sprístupňuje adresy resolverov a párovanie domén. Natívna konfigurácia IKEv2 môže prijímať DNS cez konfiguračný payload IKE, keď ho brána odošle, ale či daný klient aplikuje to, čo prijme, je implementačný detail, ktorý musíte overiť. Klient založený na aplikácii môže úplne implementovať vlastnú cestu prekladu.

To sú rôzne integračné body a výsledok jedného z nich sa nestáva pravidlom pre všetky iPhony. Podporovaným mechanizmom je to, čo profil alebo poskytovateľ dokumentuje pre používaný protokol.

Rozhodujte podľa vlastníctva, nie pohodlia

Ak je zariadenie spravované, vlastník profilu by mal doručiť nastavenie DNS spolu s konfiguráciou VPN, aby ho opätovná registrácia obnovila bez toho, aby si používateľ čokoľvek pamätal. Ak tunel vlastní aplikácia poskytovateľa, jej obrazovka nastavení je miesto, kam sa pozerať, a jej dokumentácia je autoritou v tom, čo môže oddeliť. Ak je telefón osobný a potrebou je jedno interné meno v jednej sieti, nastavenie pre sieť je primerané.

Pravidlo rozhodovania je krátke: nastavenie patrí tam, kde je spojenie zriaďované. Kdekoľvek inde je to miestna výnimka, ktorú ďalšia zmena siete vymaže.

Overujte na cestách, ktoré telefón skutočne používa

Vyskúšajte novú požiadavku z aplikácie, ktorá potrebuje súkromné meno, na Wi-Fi v kancelárii, v mobilnej sieti a pri prechode medzi nimi. Aplikácia s vlastnou integráciou resolvera môže ísť inou cestou ako systém, preto testujte skutočnú aplikáciu, nie kartu prehliadača, ktorá náhodou funguje.

Keď súkromné meno zlyhá, uchovajte presný text chyby a stav profilu. Verejný resolver, ktorý odpovie, že meno neexistuje, dáva správnu odpoveď na nesprávnu otázku, a pridať ho vedľa firemného resolvera nie je návrh menného priestoru.

Nakoniec uložte overenú politiku spolu so zdrojom zriadenia. Nasledujúce opätovné pripojenie alebo registrácia by mali obnoviť tú istú službu mien, pretože tak povedal profil, nie preto, že si niekto spomenul na úpravu vykonanú na jednom hotspoti pred dvoma rokmi.