تطبيق VPN أم IKEv2 المدمج على iPhone: كيف تختار
تطبيق VPN على iPhone وعميل IKEv2 المدمج يحلان مشكلتين مختلفتين. قارن أولًا دعم البروتوكولات والمصادقة والتحكم في الجهاز والاستعادة.
الأسبوع الماضي مدّ لي زميل هاتفه iPhone وفيه مدخلان لـVPN في الإعدادات: أحدهما تركه تطبيق مزوّد، والآخر من ملف تعريف IKEv2 أُلصق من صفحة دعم. ليسا نسختين متنافستين من الشيء نفسه. تطبيق المزوّد حاوية يمكنها حمل شيفرة النفق الخاصة بها، بينما عميل Apple المدمج هو عميل IKEv2 يُضبط يدويًا أو بملف تعريف. البروتوكول والتعامل مع بيانات الاعتماد والتحكم في الجهاز والاستعادة تحدد الاختيار.
التطبيق والعميل الأصلي في طبقتين مختلفتين
عميل VPN المدمج من Apple هو عمليًا عميل IKEv2. لا يزال النموذج اليدوي يسرد L2TP عبر IPsec وخيارات Cisco IPsec المهجورة، لكن لا يوجد حقل لنقل المزوّد ولا مكان للصق إعداد OpenVPN أو WireGuard. إما أن تملأ نموذجًا في الإعدادات > عام > VPN & إدارة الجهاز، أو تستورد ملف تعريف يحمل حمولة VPN؛ والسطح هو عنوان خادم وهويّتان وطريقة مصادقة وقواعد اختيارية عند الطلب.
يعمل تطبيق المزوّد في طبقة أعلى. فهو يوفّر مزوّد نفق حزم Network Extension، لذا تعيش شيفرة البروتوكول ومنطق التوجيه في التطبيق، ولا يمرّر iOS سوى الحزم. بعض التطبيقات تنفّذ WireGuard أو OpenVPN، وبعضها نقلًا مموّهًا خاصًا، وقليل منها يثبّت ملف تعريف IKEv2 فقط ويقود العميل المدمج خلف شاشة أجمل. بسبب هذه الفئة الأخيرة يكون الاختيار بين التطبيق وملف التعريف أحيانًا اختيارًا زائفًا.
النتيجة عملية: ملف .ovpn أو WireGuard لا يحل محل هذه الحقول، لأن المصافحة بروتوكول آخر.
اقرأ الحمولة قبل أن تقارن الميزات
عندما يكون ملف التعريف IKEv2، تشرح مفاتيح الحمولة أعطالًا أكثر من أي مقارنة ميزات. مرجع إعدادات IKEv2 من Apple يوثّق كل مفتاح؛ والحمولة المختصرة تبدو هكذا:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>ثلاثة حقول تحمل معظم الثقل التشخيصي. RemoteIdentifier هو الاسم الذي يتوقعه العميل من الخادم، لذا تفشل بوابة خلف NAT أو موازن حمل يشير شهادته إلى المجموعة بدل العنوان رغم صحة العنوان. LocalIdentifier هي الهوية التي يعتقد الخادم أنك عليها، ومع مصادقة الشهادة يجب أن تطابق الهوية المرتبطة بحسابك. ServerCertificateIssuerCommonName يثبّت جهة الإصدار CA، لذا قد يفشل ملف التعريف يوم إعادة إصدار الشهادة، دون أن تذكر أي رسالة خطأ الشهادات.
إذا كان AuthenticationMethod يساوي SharedSecret، فإن الخادم يجري مصادقة مستخدم EAP والسر الذي أُعطي لك هو في الحقيقة بيانات اعتماد حساب. هذا مهم عندما يرسل المزوّد مستندين، أحدهما لاسم المستخدم وكلمة المرور والآخر لشهادة، ولا يتطابق إلا واحد مع ما استوردته.
ما يستطيع التطبيق فعله ولا يستطيعه العميل المدمج
اختيار البروتوكول هو الميزة الواضحة. إذا كان خادمك يتحدث WireGuard أو OpenVPN، فالتطبيق هو عميل iOS الوحيد الذي يمكنه استخدامه، وتحرير النموذج المدمج لن يتفاوض عليه. يمكن للتطبيق أيضًا تنفيذ نفق منقسم حسب الوجهة أو التطبيق، ومعالجة DNS خاصة به، وحجب على نمط مفتاح الإيقاف، واختيار الخادم، وإعادة اتصال مضبوطة على شبكته.
الثمن هو برنامج لم تدقّق فيه، يعمل بصلاحيات امتداد شبكة. تتفاوت الجودة أكثر مما توحي به بطاقات المتجر: أحد التطبيقات يعيد الاتصال بنظافة بينما يسرّب آخر لبضع ثوانٍ بعد تغير الشبكة، ومفتاح الإيقاف داخل التطبيق ميزة لذلك التطبيق لا في iOS. على جهاز مُدار، تحقق من القائمة المعتمدة أولًا.
ما يصنعه ملف تعريف IKEv2 المدمج بشكل صحيح
أقل عدد من الأجزاء المتحركة هو الحجة كلها. يأتي عميل IKEv2 ومكدس IPsec مع النظام، فلا يوجد امتداد يمكن أن يتعطل، ولا عملية لكل تطبيق يجب إبقاؤها حية، ولا دورة تحديث لطرف ثالث بينك وبين نفق يعمل. يمكن أيضًا قفل ملف التعريف: على جهاز خاضع للإشراف لا يستطيع المستخدم إزالة ما ثبّته الإدارة، ولا يوجد Always On VPN، الذي يعيد الاتصال على أي شبكة دون مفتاح للمستخدم، إلا في ذلك الشكل الخاضع للإشراف والمُدار بملف تعريف.
ما لا يمنحه المسار المدمج هو المرونة. لا يوجد VPN لكل تطبيق دون تطبيقات مُدارة، ولا مفتاح إيقاف للمستخدم، ولا نقل يبدو مثل HTTPS على شبكة تحجب IPsec. في شبكات الفنادق التي تُسقط UDP 500 و4500، لا يملك IKEv2 المدمج بديلًا.
جدول قرار يحسم معظم الحالات
عمليًا، يحسم سؤال البروتوكول معظم الحالات قبل أن تصبح الميزات مهمة.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
سطران يستحقان نظرة ثانية. متطلب لكل تطبيق على هاتف شخصي هو الحالة التي يقرؤها الناس خطأً: الإعداد موجود في iOS لكنه مُدار من الإدارة، لذا لن يقدمه جهاز غير مُدار. الشبكة المحجوبة ليست سببًا لعدم الثقة بـIKEv2؛ بل هي سبب وجود تطبيق المزوّد.
تحقق من الاختيار بتجربة واحدة
اختبر أنماط الفشل لا زر الاتصال. اتصل مرة، وتأكد من ظهور مؤشر VPN، ثم افتح صفحة تعيد عنوانك العام وقارنه بالسابق. انتقل من Wi-Fi إلى بيانات الجوال دون لمس VPN وراقب إعادة الاتصال، ثم مرّر الهاتف عبر وضع الطيران. أعد التشغيل وانظر هل يعود النفق من تلقاء نفسه: ملف تعريف فيه OnDemandEnabled يجب أن يعود، بينما تحتاج تطبيقات كثيرة إلى فتحها أولًا.
عندما لا يعود، افصل العطل حسب وجود نفق أصلًا. غياب مؤشر VPN يعني أن النفق لم ينهض قط: إما فشلت المصافحة على RemoteIdentifier أو CA المثبتة أو بيانات اعتماد، أو لم يُجرَّب الاتصال أصلًا لأن قاعدة عند الطلب لم تتطابق ولم يبدأه أي تطبيق. المؤشر مع حركة فاشلة يعني التوجيه أو DNS أو سياسة على الخادم، وإعادة تثبيت العميل لا تمس شيئًا من ذلك.
قائمة قصيرة لتظل الجهاز قابلًا للشرح للشخص التالي:
- مدخل VPN واحد، لا اثنان؛
- ملف التعريف أو التطبيق باسم الخادم الذي يتصل به؛
- قيم الهوية مكتوبة حيث يمكنك العثور عليها.
ابدأ بسطر البروتوكول في الجدول، وتوقف هناك إن كان يجيب عن السؤال.