DNS-profil för iOS kontra VPN-profil: vilken har du egentligen

Någon skickar en iPhone-profil med ett betryggande namn, den installeras med två tryck och interna namn börjar slås upp. Om trafiken också går genom en tunnel är en separat fråga, och det visade namnet svarar inte på den. En profil kan bära flera nyttolaster, så det enda tillförlitliga draget är att öppna den och läsa vad varje nyttolast ställer in. Listan är kort, nyttolasternas namn är tråkiga och svaret är oftast uppenbart när du väl har sett dem. Att gissa utifrån titeln är hur folk börjar tro att deras trafik går genom en tunnel, när det bara är deras uppslag som gör det.

Öppna nyttolastlistan, inte sidhuvudet

I iOS ligger profillistan under Inställningar, Allmänt, VPN och Enhetshantering, och varje post öppnas i en nyttolastförteckning i stället för i en enda växel. Läs den förteckningen: en nyttolast för DNS-inställningar, en VPN-nyttolast, en proxy-nyttolast, certifikat, Wi-Fi. En profil som bara bär DNS-inställningar är inte en tunnel, vad den än heter, och en som bär båda gör två olika jobb samtidigt. Förteckningen är det tekniska påståendet, och sidhuvudet är marknadsföring.

Tre frågor förvandlar förteckningen till ett beslut. Ändras namnuppslagningen, ändras den publika källadressen och vilka appar täcker varje effekt? En DNS-nyttolast svarar på den första, en VPN-nyttolast svarar oftast på den andra och tredje, och allt som hävdar båda bör visa två nyttolaster eller ett dokumenterat tillägg.

Vad en DNS-nyttolast faktiskt ändrar

En DNS-nyttolast ändrar hur namn slås upp inom sitt konfigurerade omfång, vilket kan betyda en särskild resolver, en krypterad transport som DNS over HTTPS, eller en begränsad uppsättning domäner. Det den oftast inte ändrar är den publika källadressen för dina anslutningar, så webbplatser ser fortfarande nätverket du är på. Uppslagning och routning är separata mekanismer, och bara en av dem flyttades. Därför kan ett internt namn slås upp korrekt medan sidan bakom det vägrar att laddas.

En DNS-nyttolast inför också en part som tar emot dina frågor, och om resolveroperatören inte är nätverksoperatören är det en ny deltagare på vägen. Notera det, eftersom det ändrar vem som kan se vilka namn du frågar efter. Den döljer inte i sig själv de destinationsadresser du ansluter till efteråt.

Vad en VPN-nyttolast faktiskt ändrar

En VPN-nyttolast upprättar en tunnel och en routningspolicy, och beroende på hur den är konfigurerad kan den fånga all trafik, bara angivna destinationer eller bara angivna appar. Undantag spelar lika stor roll som inkluderingar, eftersom en profil med full tunnel och två undantagna domäner inte alls beter sig som namnet antyder. Per-app-VPN kan lämna webbläsaren helt utanför tunneln medan märket i statusfältet säger ansluten. Läs listorna över inkluderade och undantagna innan du tror på något av de två orden.

Här ändras källadressen verkligen, åtminstone för trafiken som tunneln fångar, och det är den praktiska skillnaden som de flesta faktiskt frågar om. Allt annat är detaljer om vilken trafik.

Där Network Extension-appar suddar ut etiketten

En app kan installera sitt eget nätverkstillägg vars beteende profillistan inte uppenbart beskriver, så marknadsföringsnamnet och indikatorn i statusfältet är ingen förteckning. Öppna appens egen konfigurationsskärm bredvid profilens nyttolaster och jämför de två. En växel märkt skydd kan bara byta uppslagning, och en växel märkt privat DNS kan bara byta resolver. Där de två källorna är oense, tro på nyttolastlistan och notera skillnaden.

Det är också därför en app kan klara ett snabbt test i ett nätverk och misslyckas på en inloggningsportal, där uppslagning fungerar och routning inte gör det. De två mekanismerna var aldrig samma sak.

Ta bort rätt objekt och kontrollera namnen efteråt

Ta bort en konfiguration via appen eller hanteringstjänsten som installerade den, med hjälp av Apples dokumenterade borttagningssteg i stället för att radera filer du hittat. Att radera en profil kan ta med sig associerade inställningar och data, och en hanterad profil kan vägra att lämna förrän hanteringssidan släpper den. Att ta bort en enda DNS-nyttolast bör aldrig kräva att en orelaterad VPN-identitet förstörs som enheten fortfarande är beroende av. Separera objekten innan du raderar något, ta sedan bort bara det som äger det beteende du försöker stoppa.

Kontrollera därefter de privata namn som ditt arbete är beroende av, eftersom en organisationsapp kan lita på en resolver som offentlig DNS aldrig har hört talas om. Det felet visar sig oftast som ett appfel i stället för ett DNS-fel, vilket är varför det feldiagnostiseras. Testa ett internt namn och ett publikt namn från samma app, och svaret talar om vilket objekt du faktiskt tog bort.