VPN DNS на iPhone-у: ко поседује подешавање одлучује где се примењује

Унесите адресу приватног резолвера у Wi-Fi подешавања iPhone-а и она ће радити док телефон не напусти ту мрежу, а то је управо тренутак када VPN треба да преузме. Ово је прва замка мобилног DNS-а: место где сте унели подешавање одређује његов обим, а обим је ужи него што већина претпоставља. Пре него што било шта уредите, одговорите на три питања о распоређивању, јер одговори одређују коју контролу треба да додирнете. Третирајте редослед као преглед дизајна, а не као лов на подешавања.

Три питања пре него што унесете адресу резолвера

Прво, која имена заиста захтевају посебан третман? Приватна зона као corp.example је простор имена, а не један домаћин, и одговор треба да буде домен, а не један запис. Друго, који је резолвер за њу ауторитативан и ко поседује ту услугу? Треће, који пут чини тај резолвер доступним са телефона: тунел, рутирана Wi-Fi мрежа или нешто сасвим друго?

Ако неко од та три нема власника, зауставите се. DNS промена направљена без простора имена, ауторитативног извора и доступног пута је претпоставка која ће на мобилној мрежи пропасти другачије него у канцеларији.

DNS запис за Wi-Fi припада тој Wi-Fi мрежи

Ручна DNS конфигурација на iOS чува се по мрежи. Примењује се док је телефон повезан са тим SSID-ом и престаје да се примењује када није, што значи да не може да управља мобилним саобраћајем ни да опише шта ради VPN клијент. Њено уређивање да би се поправила апликација која пропада на мобилној мрежи је промена подешавања које пут који пропада никада не чита.

То не чини DNS по мрежи бескорисним. За кућну лабораторију или један канцеларијски SSID то је најједноставнији начин да се стигне до интерног резолвера и поштено је према својој граници.

DNS механизам VPN-а прати протокол и клијента

Добављач пакетног тунела на iOS-у може да конфигурише DNS преко Apple API-ја за DNS подешавања, који тунелу који поседује везу излаже адресе резолвера и подударање домена. Нативна IKEv2 конфигурација може да прими DNS преко IKE конфигурационог терета када је гејтвеј пошаље, али да ли дати клијент примењује оно што прими је детаљ имплементације који морате да проверите. Клијент заснован на апликацији може у потпуности да имплементира сопствени пут разрешавања.

То су различите тачке интеграције и резултат једне од њих не постаје правило за све iPhone уређаје. Подржани механизам је оно што профил или добављач документује за протокол који се користи.

Одлучите по власништву, не по удобности

Ако је уређај под управљањем, власник профила треба да достави DNS подешавање заједно са VPN конфигурацијом, тако да поновна регистрација врати то подешавање без тога да корисник било шта памти. Ако апликација добављача поседује тунел, њен екран подешавања је место за преглед, а њена документација је ауторитет за то шта може да раздвоји. Ако је телефон лични и потреба је једно интерно име на једној мрежи, подешавање по мрежи је сразмерно.

Правило одлуке је кратко: подешавање припада тамо где се веза обезбеђује. Било где другде то је локални изузетак који ће следећа промена мреже избрисати.

Проверите на путевима које телефон стварно користи

Тестирајте нови захтев из апликације којој је потребно приватно име, на Wi-Fi-ју у канцеларији, на мобилној мрежи и при прелазу између њих. Апликација са сопственом интеграцијом резолвера може да крене другачијим путем од система, зато тестирајте саму апликацију, а не језичак прегледача који случајно ради.

Када приватно име пропадне, сачувајте тачан текст грешке и стање профила. Јавни резолвер који одговори да име не постоји даје тачан одговор на погрешно питање, а његово додавање поред корпоративног резолвера није дизајн простора имена.

На крају, сачувајте проверену политику заједно са извором обезбеђивања. Следеће поновно повезивање или регистрација треба да врати исти сервис имена зато што је профил тако рекао, а не зато што се неко сетио измене направљене на једној приступној тачки пре две године.