iPhone'da WireGuard DNS: domen faqat qidiruv qo'shimchasi

Siz hal qiluvchi manzili va kompaniya domeni bilan bitta satr yozasiz, faqat shu domendagi nomlar tunnel hal qiluvchisidan foydalanadi deb kutasiz. Apple mijozida endi barcha nomlar u yerga boradi, domendagi qisqa nomlar ham hal qilinadi. Satr ikkita alohida ish qiladi, va ulardan faqat bittasi tunnel qaysi so'rovlarni bajarishiga tegishli. Ikkinchisi — yozish qulayligi, uni xayoliy o'qish siyosat darajasiga ko'targan.

DNS satri nimaga ajratiladi

Mijoz yozuvni ro'yxat sifatida o'qiydi va har bir elementni shakliga ko'ra tasniflaydi. Manzilga o'xshagan har qanday narsa DNS serverga aylanadi; domenga o'xshagan har qanday narsa qidiruv qo'shimchasiga aylanadi. Ikkalasi ham tunnel sozlamalariga tushadi, lekin turli maydonlarga. Shaxsiy hal qiluvchi va bitta ichki domenni olib yuruvchi tunnel uchun namuna satr shunday ko'rinadi.

DNS = 10.24.8.53, lab.internal.example

Manzil hal qiluvchini beradi. Domen qo'shimcha beradi, u mijozga qisqa nom yozishga va tizimga so'rashdan oldin qolganini qo'shishga imkon beradi. Ikkalasi ham hal qiluvchini shu domen bilan cheklash haqida hech narsa demaydi, va odamlar kutgan, ammo olmagan qism aynan shu. Platformada faqat bitta maydon bu cheklovni ifodalay oladi, va bu bu maydon emas.

Apple'ning ikkita maydoni, ikkita turli ish

Apple bu farqni o'zining DNS sozlamalari obyektida ochib beradi. Qidiruv domenlari ro'yxati bitta belgili xost nomlarini malakalash uchun ishlatiladigan ro'yxat sifatida hujjatlashtirilgan: yalang'och xost nomini yozing va tizim har bir qo'shimchani navbat bilan qo'shishi mumkin. Bu to'ldirish qoidasi, marshrutlash qoidasi emas. Bu ro'yxatda hech narsa qaysi serverdan so'rashni hal qilmaydi.

Mos keluvchi domenlar ro'yxati boshqa xususiyat. U qaysi nom fazolari ushbu DNS sozlamalar to'plamidan foydalanishini hal qiladi, va bo'sh yozuv muayyan qo'shimcha emas, standart domen degani. paket tunnel sozlamalari generatori Apple mijozida bu modelga amal qiladi. U tahlil qilingan qidiruv qo'shimchalarini qidiruv ro'yxatiga qo'yadi, va serverlar bo'lsa, moslik ro'yxatini bo'sh satrga o'rnatadi. Natija tizim yuborgan hamma narsaga javob beradigan tunnel hal qiluvchisi, hamda qisqa nomlarga yordam beradigan qo'shimcha.

Demak, bu satrdagi domen nom fazosi tanlagichi emas. Yana birini qo'shish tunnel ishlatadigan so'rovlarni toraytirmaydi, uni olib tashlash ham kengaytirmaydi. O'zgaradigan yagona narsa — qancha qisqa nom to'ldirilishi.

Nega har bir nom baribir tunnel hal qiluvchisiga yetib boradi

Bo'sh moslik yozuvi bilan tunnel oddiy nomlar uchun nomzod hal qiluvchi, faqat kompaniya domeni uchun emas. To'liq tunnel konfiguratsiyasida bu odatda unchalik ahamiyatga ega emas, chunki barcha trafik baribir tunnelda. Bo'lingan tunnelda bu juda muhim. Ommaviy nomlarni endi faqat shaxsiy zona saqlaydigan hal qiluvchi hal qilishi mumkin, va nosozlik buzilgan VPN ga o'xshaydi, aslida esa bu nom fazosining faqat bir qismiga javob beradigan hal qiluvchi. Tunnel joyida, so'rovlar chiqadi, va javoblar bo'sh qaytadi.

Ikkita tuzatish mavjud va ular turli qarorlar. Tunnel hal qiluvchisini ommaviy nomlarni tasdiqlangan yo'l orqali uzatadigan to'liq hal qiluvchiga aylantiring, yoki domenlar ro'yxati o'rniga mijoz konfiguratsiyasini o'zgartirib ommaviy nomlarni u yerga yuborishni to'xtating. Birinchisi har bir so'rovni tunnelda ushlab turadi va yuqori oqimga ishonadi. Ikkinchisi ba'zi so'rovlarni mahalliy ushlab turadi va tunnel o'chirilganda shaxsiy nomlar hal qilinmay qolishi mumkinligini qabul qiladi.

Bo'lingan DNS aslida nimaga muhtoj bo'lardi

Nom fazosi bilan cheklangan hal qiluvchi siyosati uni ifodalashga imkon beruvchi mijozni talab qiladi: Apple platformalarida domenlarni moslashtiring, yoki foydalanadigan mahsulotingizda teng sozlama. Faqat serverlar va qo'shimchalarni qabul qiladigan konfiguratsiya maydoni uni qanday tinish belgilanse ham ifodalay olmaydi. Profil bu siyosatni olib yura oladi, chunki u boshqariladigan konfiguratsiyani tasvirlaydi, ulanish vaqtidagi ishora emas. U domenni, serverlarni va shu domen yetib bo'lmaydigan bo'lganda nima bo'lishi kerakligini nomlashi mumkin. Bu sozlama va shartnoma o'rtasidagi farq.

Boshqariladigan Apple qurilmalarida bu odatda domenga xos DNS sozlamalarini olib yuruvchi konfiguratsiya profili orqali beriladi. Bu WireGuard konfiguratsiya faylidan boshqa mexanizm, va ikkalasi faqat mijoz profilni hurmat qilsa birga mavjud bo'lishi mumkin. Ikkala mahsulot bir xil ishlaydi deb o'ylashdan oldin mijozingiz maydonni aslida nima deb atashini tekshiring. Mac'dagi wg-quick skripti va iPhone'dagi WireGuard ilovasi o'xshash satrlarni o'qib, ularni turli qatlamlar orqali o'rnatadi.

O'rnatilgan sozlamalarni o'qing, konfiguratsiyani emas

Mac'da tizim oxir-oqibat nimaga kelganini tekshirishingiz mumkin, bu siz yozgan faylni qayta o'qishdan ko'ra ko'proq ma'lumot beradi. Hal qiluvchilar ro'yxati qaysi serverlar qaysi domenlar uchun sozlanganini ko'rsatadi, va qamrovli so'rovlar qaysi biri g'alaba qozonganini ko'rsatadi. Satrni buzadigan mijoz buni siz yozgan faylda emas, shu yerda ko'rsatadi. iOS'da teng buyruq satri yo'q, shuning uchun u yerdagi dalil natijadir: tunnel orqali hal qilinadigan shaxsiy nom, va javobi qaysi hal qiluvchi javob berganini ochib beradigan ommaviy nom.

scutil --dns | grep -A3 resolver
networksetup -getdnsservers Wi-Fi

Bu ikki buyruq joriy hal qiluvchi konfiguratsiyasini va faol xizmatning DNS serverlarini chop etadi. Agar tunnel hal qiluvchisi domen cheklovisiz standart hal qiluvchi sifatida ko'rinsa, konfiguratsiya mijoz so'ragan narsani aniq bajaradi. Buni mexanizmni o'zgartirib tuzating, ikkinchi qo'shimcha qo'shib, xatti-harakat o'zgaradi deb umid qilish bilan emas.