DNS của VPN trên iPhone: ai sở hữu thiết lập sẽ quyết định nơi nó áp dụng

Nhập một địa chỉ bộ phân giải riêng vào phần cài đặt Wi-Fi của iPhone và nó sẽ hoạt động cho đến khi điện thoại rời khỏi mạng đó, đúng vào lúc VPN được cho là sẽ tiếp quản. Đây là cái bẫy đầu tiên trong DNS di động: nơi bạn nhập thiết lập xác định phạm vi của nó, và phạm vi hẹp hơn những gì hầu hết mọi người giả định. Trước khi chỉnh sửa bất cứ điều gì, hãy trả lời ba câu hỏi về việc triển khai, vì câu trả lời quyết định bạn nên chạm vào điều khiển nào. Hãy coi trình tự này như một buổi đánh giá thiết kế chứ không phải một cuộc săn tìm cài đặt.

Ba câu hỏi trước khi nhập địa chỉ bộ phân giải

Thứ nhất, những tên nào thực sự cần xử lý đặc biệt? Một vùng riêng như corp.example là không gian tên, không phải một máy chủ duy nhất, và câu trả lời nên là một miền chứ không phải một bản ghi. Thứ hai, bộ phân giải nào có thẩm quyền cho nó, và ai sở hữu dịch vụ đó? Thứ ba, con đường nào khiến bộ phân giải đó có thể truy cập được từ điện thoại: đường hầm, một mạng Wi-Fi được định tuyến, hay một thứ hoàn toàn khác?

Nếu bất kỳ điều nào trong ba điều đó không có chủ sở hữu, hãy dừng lại. Một thay đổi DNS được thực hiện mà không có không gian tên, nguồn có thẩm quyền và con đường có thể truy cập là một phỏng đoán sẽ thất bại khác đi trên mạng di động so với trong văn phòng.

Một mục DNS Wi-Fi thuộc về mạng Wi-Fi đó

Cấu hình DNS thủ công trên iOS được lưu theo từng mạng. Nó áp dụng khi điện thoại được liên kết với SSID đó và ngừng áp dụng khi không, nghĩa là nó không thể quản lý lưu lượng di động hay mô tả những gì một ứng dụng khách VPN làm. Chỉnh sửa nó để sửa một ứng dụng thất bại trên mạng di động là thay đổi một thiết lập mà con đường thất bại không bao giờ đọc.

Điều đó không làm cho DNS theo từng mạng trở nên vô dụng. Với một phòng thí nghiệm tại nhà hoặc một SSID văn phòng duy nhất, đây là cách đơn giản nhất để đến một bộ phân giải nội bộ, và nó trung thực về ranh giới của mình.

Cơ chế DNS của VPN tuân theo giao thức và ứng dụng khách

Một nhà cung cấp đường hầm gói trên iOS có thể định cấu hình DNS thông qua API cài đặt DNS của Apple, API này hiển thị địa chỉ bộ phân giải và khớp miền cho đường hầm sở hữu kết nối. Một cấu hình IKEv2 gốc có thể nhận DNS thông qua tải trọng cấu hình IKE khi cổng đẩy nó đi, nhưng liệu một ứng dụng khách cụ thể có áp dụng những gì nó nhận được hay không là chi tiết triển khai mà bạn phải xác minh. Một ứng dụng khách dựa trên ứng dụng có thể triển khai hoàn toàn con đường phân giải của riêng nó.

Đó là những điểm tích hợp khác nhau, và kết quả từ một trong số chúng không trở thành quy tắc cho mọi iPhone. Cơ chế được hỗ trợ là những gì hồ sơ hoặc nhà cung cấp ghi lại cho giao thức đang dùng.

Quyết định theo quyền sở hữu, không theo sự tiện lợi

Nếu thiết bị được quản lý, chủ sở hữu hồ sơ nên cung cấp thiết lập DNS cùng với cấu hình VPN, để việc đăng ký lại khôi phục nó mà người dùng không cần nhớ gì. Nếu một ứng dụng của nhà cung cấp sở hữu đường hầm, màn hình cài đặt của nó là nơi cần xem, và tài liệu của nó là thẩm quyền về những gì nó có thể tách. Nếu điện thoại là cá nhân và nhu cầu là một tên nội bộ trên một mạng, thiết lập theo từng mạng là tương xứng.

Quy tắc quyết định rất ngắn: thiết lập thuộc về nơi kết nối được cấp phát. Ở bất kỳ nơi nào khác, nó là một ngoại lệ cục bộ mà thay đổi mạng tiếp theo sẽ xóa đi.

Xác minh trên những con đường điện thoại thực sự sử dụng

Hãy thử một yêu cầu mới từ ứng dụng cần tên riêng, trên Wi-Fi trong văn phòng, trên mạng di động và trong quá trình chuyển đổi giữa hai mạng. Một ứng dụng có tích hợp bộ phân giải riêng có thể đi theo con đường khác với hệ thống, vì vậy hãy thử chính ứng dụng chứ không phải một tab trình duyệt tình cờ hoạt động.

Khi tên riêng thất bại, hãy giữ lại lỗi chính xác và trạng thái hồ sơ. Một bộ phân giải công cộng trả lời rằng tên không tồn tại đưa ra câu trả lời đúng cho câu hỏi sai, và thêm nó bên cạnh bộ phân giải của công ty không phải là thiết kế không gian tên.

Cuối cùng, hãy lưu chính sách đã xác minh cùng với nguồn cấp phát. Lần kết nối lại hoặc đăng ký tiếp theo nên khôi phục cùng một dịch vụ tên vì hồ sơ đã nói như vậy, không phải vì ai đó nhớ đến một chỉnh sửa được thực hiện trên một điểm truy cập hai năm trước.