Cấu hình DNS trên iOS và cấu hình VPN: bạn đang có cái nào

Ai đó gửi cho bạn một cấu hình iPhone với cái tên nghe đáng tin, nó cài trong hai lần chạm, và các tên nội bộ bắt đầu được phân giải. Việc lưu lượng có đi qua đường hầm hay không là câu hỏi riêng, và cái tên hiển thị không trả lời điều đó. Một cấu hình có thể mang nhiều payload, nên động thái đáng tin duy nhất là mở nó ra và đọc xem mỗi payload cấu hình điều gì. Danh sách thì ngắn, tên payload thì nhàm chán, và câu trả lời thường rõ ràng ngay khi bạn đã nhìn thấy chúng. Đoán từ tiêu đề là cách người ta bắt đầu tin rằng lưu lượng của mình đi qua đường hầm, trong khi chỉ các truy vấn của họ đi qua đó.

Mở danh sách payload, không phải phần đầu

Trên iOS, danh sách cấu hình nằm trong Cài đặt, Cài đặt chung, VPN và Quản lý thiết bị, và mỗi mục mở ra một bản kê payload chứ không phải một công tắc duy nhất. Hãy đọc bản kê đó: một payload cài đặt DNS, một payload VPN, một payload proxy, chứng chỉ, Wi-Fi. Một cấu hình chỉ mang cài đặt DNS không phải đường hầm, dù tên nó gợi ý gì đi nữa, còn cái mang cả hai đang làm hai việc khác nhau cùng lúc. Bản kê là tuyên bố kỹ thuật, còn phần đầu là tiếp thị.

Ba câu hỏi biến bản kê thành quyết định. Việc phân giải tên có đổi không, địa chỉ nguồn công khai có đổi không, và mỗi tác động bao phủ những ứng dụng nào? Payload DNS trả lời câu thứ nhất, payload VPN thường trả lời câu thứ hai và thứ ba, và bất cứ thứ gì nhận cả hai phải cho thấy hai payload hoặc một tiện ích mở rộng được ghi nhận.

Payload DNS thực sự thay đổi điều gì

Payload DNS thay đổi cách các tên được phân giải trong phạm vi đã cấu hình của nó, điều này có thể nghĩa là một trình phân giải cụ thể, một đường truyền mã hóa như DNS over HTTPS, hoặc một tập miền hạn chế. Điều nó thường không thay đổi là địa chỉ nguồn công khai của các kết nối của bạn, nên các trang web vẫn thấy mạng bạn đang ở. Phân giải và định tuyến là hai cơ chế riêng biệt, và chỉ một trong hai đã dịch chuyển. Đó là lý do một tên nội bộ có thể phân giải đúng trong khi trang phía sau nó từ chối tải.

Payload DNS cũng đưa vào một bên nhận các truy vấn của bạn, và nếu nhà vận hành trình phân giải không phải nhà vận hành mạng, đó là một người tham gia mới trên đường đi. Hãy ghi nhận điều đó, vì nó thay đổi ai có thể thấy bạn hỏi những tên nào. Tự nó không giấu các địa chỉ đích mà bạn kết nối tới sau đó.

Payload VPN thực sự thay đổi điều gì

Payload VPN thiết lập một đường hầm và một chính sách định tuyến, và tùy vào cách nó được cấu hình, nó có thể bắt toàn bộ lưu lượng, chỉ các đích được liệt kê, hoặc chỉ các ứng dụng được liệt kê. Các loại trừ quan trọng ngang với các bao gồm, vì một cấu hình đường hầm đầy đủ với hai miền bị loại trừ không hành xử giống chút nào với điều cái tên gợi ý. VPN theo từng ứng dụng có thể để trình duyệt hoàn toàn ngoài đường hầm trong khi huy hiệu trên thanh trạng thái báo đã kết nối. Hãy đọc danh sách bao gồm và loại trừ trước khi tin vào bất kỳ từ nào trong hai từ đó.

Ở đây địa chỉ nguồn thực sự thay đổi, ít nhất với lưu lượng mà đường hầm bắt, và đó là khác biệt thực tế mà hầu hết mọi người thực sự hỏi. Mọi thứ khác là chi tiết về việc lưu lượng nào.

Nơi các ứng dụng Network Extension làm mờ nhãn

Một ứng dụng có thể cài tiện ích mở rộng mạng riêng mà danh sách cấu hình không mô tả rõ hành vi, nên tên tiếp thị và chỉ báo trên thanh trạng thái không phải bản kê. Mở màn hình cấu hình riêng của ứng dụng bên cạnh các payload của cấu hình và so sánh hai bên. Một công tắc gắn nhãn bảo vệ có thể chỉ chuyển việc phân giải, và một công tắc gắn nhãn DNS riêng tư có thể chỉ đổi trình phân giải. Nơi hai nguồn không đồng ý, hãy tin danh sách payload và ghi lại khác biệt.

Đó cũng là lý do một ứng dụng có thể vượt qua bài kiểm tra nhanh trên một mạng và thất bại trên một cổng chặn, nơi phân giải hoạt động còn định tuyến thì không. Hai cơ chế đó chưa bao giờ là cùng một thứ.

Gỡ đúng đối tượng và kiểm tra các tên sau đó

Gỡ một cấu hình qua ứng dụng hoặc dịch vụ quản lý đã cài nó, dùng các bước gỡ bỏ được Apple ghi lại thay vì xóa những tệp bạn tìm thấy. Xóa một cấu hình có thể mang theo các cài đặt và dữ liệu liên quan, và một cấu hình được quản lý có thể từ chối rời đi cho đến khi phía quản lý giải phóng nó. Gỡ một payload DNS không bao giờ nên đòi hỏi phải phá hủy một danh tính VPN không liên quan mà thiết bị vẫn còn phụ thuộc. Tách các đối tượng trước khi bạn xóa bất cứ thứ gì, rồi chỉ gỡ cái sở hữu hành vi mà bạn đang cố dừng.

Sau đó, hãy kiểm tra các tên riêng mà công việc của bạn phụ thuộc, vì một ứng dụng tổ chức có thể dựa vào một trình phân giải mà DNS công cộng chưa từng nghe tới. Lỗi đó thường hiện ra như lỗi ứng dụng chứ không phải lỗi DNS, nên nó bị chẩn đoán sai. Hãy thử một tên nội bộ và một tên công cộng từ cùng một ứng dụng, và câu trả lời sẽ cho bạn biết bạn thực sự đã gỡ đối tượng nào.