Relution Signet Customer Hub

DNS-Verschlüsselungs-Einstellungen

Mit der Konfiguration DNS-Verschlüsselungs-Einstellungen wird ein DNS-Server festgelegt, über den die Geräte Namen verschlüsselt auflösen, entweder per DNS-over-HTTPS (DoH) oder per DNS-over-TLS (DoT). Optional lässt sich die Verwendung des Servers auf bestimmte Domänen beschränken. Relution überträgt die Einstellungen als Profil mit dem Payload-Typ com.apple.dnsSettings.managed.

Plattformen

Die Konfiguration steht in Richtlinien für iOS/iPadOS und für macOS zur Verfügung; Formular und Verhalten sind auf beiden Plattformen gleich.

  • Sie steht nur für Geräte mit Geräteregistrierung zur Verfügung, nicht für Geräte mit Benutzer-Einschreibung (iOS →, macOS →).
  • Ein überwachtes Gerät ist nicht erforderlich. Nur die Option Verhindern, dass Benutzer die DNS-Einstellungen deaktivieren können setzt ein überwachtes Gerät voraus (Kennzeichnung Wird überwacht).
  • In macOS-Richtlinien ist die Konfiguration mit macOS 11+ gekennzeichnet. Laut Apple werden die Einstellungen ab iOS 14 bzw. macOS 11 unterstützt.

Allgemein

Im Abschnitt Allgemein stehen folgende Felder zur Verfügung. In Klammern steht jeweils der Schlüssel im Profil.

  • DNS-Protokoll (DNSProtocol, Standardwert: HTTPS): legt das verschlüsselte Übertragungsprotokoll fest. HTTPS steht für DNS-over-HTTPS, TLS für DNS-over-TLS. Je nach Auswahl erscheint eines der beiden folgenden Felder.
  • DNS-über-HTTPS-Server-URL (ServerURL, nur bei HTTPS): URI-Vorlage des DoH-Servers, z. B. https://dns.example.com/dns-query. Pflichtfeld. Die URL muss das Schema https:// verwenden. Der Hostname oder die Adresse in der URL dient zur Prüfung des Serverzertifikats und, wenn keine IP-Adressen angegeben sind, zur Ermittlung der Serveradressen.
  • DNS-über-TLS-Server-Hostname (ServerName, nur bei TLS): Hostname des DoT-Servers, z. B. dns.example.com. Pflichtfeld. Erwartet wird ein Hostname, keine IP-Adresse. Er dient zur Prüfung des Serverzertifikats und, wenn keine IP-Adressen angegeben sind, zur Ermittlung der Serveradressen.
  • DNS-Server (IP-Adressen) (ServerAddresses): optionale Liste von IP-Adressen des DNS-Servers, IPv4 und IPv6 gemischt möglich. Bleibt die Liste leer, ermittelt das Gerät die Adressen aus dem Hostnamen bzw. der URL.
  • Verwendung des DNS-Server auf folgende Domänen einschränken (SupplementalMatchDomains): optionale Liste von Domänen. Nur Anfragen zu diesen Domänen laufen über den konfigurierten Server; bleibt die Liste leer, gilt der Server für alle Domänen. Ein einzelnes Platzhalterpräfix *. ist erlaubt, aber nicht nötig: Laut Apple treffen sowohl *.example.com als auch example.com auf intranet.example.com zu, nicht aber auf intranet-example.com.
  • Verhindern, dass Benutzer die DNS-Einstellungen deaktivieren können (ProhibitDisablement, Standardwert: nicht aktiv): Der Benutzer kann die DNS-Einstellungen auf dem Gerät nicht abschalten. Relution überträgt den Schlüssel nur an überwachte Geräte; auf nicht überwachten Geräten entfällt er.

Weitere Optionen des Apple-Profils, etwa Regeln für bedarfsabhängige Aktivierung (On-Demand-Regeln) oder ein Client-Zertifikat, bietet das Formular nicht an.

Besonderheiten

  • Mehrere Konfigurationen: Eine Richtlinie kann mehrere Konfigurationen dieses Typs enthalten. In der Konfigurationsliste erscheint jeweils die DNS-über-HTTPS-Server-URL bzw. der DNS-über-TLS-Server-Hostname als Name.
  • Protokollwechsel: Übertragen wird nur das Feld, das zum gewählten DNS-Protokoll gehört, also entweder die Server-URL oder der Hostname.
  • Platzhalter: Das Formular zeigt unterhalb der Einstellungen die verfügbaren Benutzer- und Geräte-Platzhalter an. Da Hostname, IP-Adressen und Domänen auf ihr Format geprüft werden, kommen Platzhalter nur im Pfad der DNS-über-HTTPS-Server-URL in Frage. Weitere Informationen: Erweiterte Platzhalter →

Verwandte Themen