iPhone-da VPN tətbiqi və ya daxili IKEv2: necə seçmək
iPhone VPN tətbiqi və daxili IKEv2 müştərisi fərqli problemləri həll edir. Əvvəlcə protokol dəstəyi, autentifikasiya, cihaz nəzarəti və bərpanı müqayisə edin.
Keçən həftə həmkarım mənə iPhone-unu uzatdı, «Parametrlər»də iki VPN qeydi var idi: birini provayder tətbiqi qoymuşdu, digəri dəstək səhifəsindən yapışdırılmış IKEv2 profili idi. Bunlar eyni şeyin rəqib versiyaları deyil. Provayder tətbiqi öz tunel kodunu daşıya bilən konteynerdir, Apple-ın daxili müştərisi isə əl ilə və ya profil vasitəsilə konfiqurasiya edilən IKEv2 müştərisidir. Protokol, etimadnamələrlə davranma, cihaz nəzarəti və bərpa seçimi müəyyən edir.
Tətbiq və daxili müştəri fərqli qatdadır
Apple-ın daxili VPN müştərisi praktikada IKEv2 müştərisidir. Əl forması hələ də köhnəlmiş IPsec üzərində L2TP və Cisco IPsec seçimlərini sadalayır, lakin provayder transportu üçün sahə və OpenVPN və ya WireGuard konfiqurasiyasını yapışdırmaq üçün yer yoxdur. Siz ya «Parametrlər > Ümumi > VPN & Cihaz idarəetməsi» bölməsində formu doldurursunuz, ya da VPN yükü olan profil idxal edirsiniz; səth server ünvanı, iki kimlik, autentifikasiya metodu və istəyə bağlı sorğu qaydalarıdır.
Provayder tətbiqi bir qat yuxarı işləyir. O, Network Extension paket tunel provayderi təqdim edir, buna görə protokol kodu və marşrutlaşdırma məntiqi tətbiqdə yaşayır, iOS isə yalnız paketləri ötürür. Bəzi tətbiqlər WireGuard və ya OpenVPN tətbiq edir, digərləri öz gizlədilmiş transportunu, bir neçəsi isə yalnız IKEv2 profili quraşdırıb daxili müştərini daha gözəl ekranın arxasından idarə edir. Məhz sonuncu qrup üzündən «tətbiq, yoxsa profil» seçimi bəzən yalançı olur.
Nəticə praktikdir: .ovpn və ya WireGuard faylı bu sahələri əvəz etmir, çünki əl sıxışması başqa protokoldur.
Funksiyaları müqayisə etməzdən əvvəl yükü oxuyun
Profil IKEv2 olduqda, yük açarları hər hansı funksiya müqayisəsindən daha çox nasazlığı izah edir. Apple-ın IKEv2 parametrləri arayışı hər açarı sənədləşdirir; qısaldılmış yük belə görünür:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Üç sahə diaqnostik yükün böyük hissəsini daşıyır. RemoteIdentifier müştərinin serverdən gözlədiyi addır, buna görə NAT arxasındakı şlüz və ya sertifikatı ünvanın əvəzinə hovuzu adlandıran balanslaşdırıcı ünvan düzgün olsa da uğursuz olur. LocalIdentifier serverin sizi hesab etdiyi kimlikdir və sertifikatla autentifikasiyada hesabınıza bağlanmış kimliyə uyğun olmalıdır. ServerCertificateIssuerCommonName verən CA-nı bərkidir, buna görə profil sertifikat yenidən verildiyi gün uğursuz ola bilər və heç bir xəta mesajı sertifikatları xatırlatmır.
Əgər AuthenticationMethod SharedSecret-ə bərabərdirsə, server EAP istifadəçi autentifikasiyası həyata keçirir və aldığınız sirr əslində hesab etimadnaməsidir. Bu, provayder iki sənəd göndərdikdə vacibdir: biri istifadəçi adı və parol üçün, digəri sertifikat üçün, və yalnız biri idxal etdiyinizlə uyğun gəlir.
Tətbiq nə edə bilər, daxili müştəri isə nə edə bilməz
Protokol seçimi aşkar üstünlükdür. Əgər serveriniz WireGuard və ya OpenVPN danışırsa, tətbiq ondan istifadə edə bilən yeganə iOS müştərisidir və daxili formanı redaktə etmək bunu razılaşdırmayacaq. Tətbiq həmçinin təyinat və ya tətbiq üzrə bölünmüş tunel, öz DNS emalı, kill switch üslubunda bloklama, server seçimi və öz şəbəkəsinə uyğunlaşdırılmış yenidən qoşulma tətbiq edə bilər.
Qiymət sizin yoxlamadığınız proqram təminatıdır və şəbəkə genişlənməsinin hüquqları ilə işləyir. Keyfiyyət mağaza kartlarının güman etdiyindən daha çox dəyişir: bir tətbiq təmiz yenidən qoşulur, digəri şəbəkə dəyişdikdən sonra bir neçə saniyə sızır, tətbiqin içindəki kill switch isə həmin tətbiqin funksiyasıdır, iOS-un deyil. İdarə olunan cihazda əvvəlcə təsdiqlənmiş siyahını yoxlayın.
Daxili IKEv2 profili nəyi düzgün edir
Daha az hərəkətli hissə — bütün arqument. IKEv2 müştərisi və onun IPsec steki sistemlə gəlir, buna görə çökə bilən genişlənmə də, hər tətbiq üçün canlı saxlanmalı proses də, sizinlə işləyən tunel arasında üçüncü tərəfin yeniləmə dövrü də yoxdur. Profili həmçinin kilidləmək olar: nəzarət olunan cihazda istifadəçi idarəetmənin quraşdırdığını silə bilməz və istifadəçi açarı olmadan istənilən şəbəkədə yenidən qoşulan Always On VPN yalnız belə nəzarət olunan, profillə idarə olunan formada mövcuddur.
Daxili yolun vermədiyi şey çeviklikdir. İdarə olunan tətbiqlər olmadan tətbiq üzrə VPN yoxdur, istifadəçi üçün kill switch yoxdur və IPsec-i bloklayan şəbəkədə HTTPS kimi görünən transport yoxdur. UDP 500 və 4500-ü atan otel şəbəkələrində daxili IKEv2-nin ehtiyat yolu yoxdur.
Əksər halları həll edən qərar cədvəli
Praktikada protokol sualı funksiyalar vacib olmadan əvvəl əksər halları həll edir.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
İki sətir ikinci baxışa layiqdir. Şəxsi telefonda tətbiq üzrə tələb insanların səhv oxuduğu haldır: parametr iOS-da mövcuddur, lakin idarəetmə tərəfindən idarə olunur, buna görə idarə olunmayan cihaz onu təklif etməyəcək. Bloklanmış şəbəkə IKEv2-ə inanmamaq üçün səbəb deyil; bu, provayderin tətbiqinin mövcud olmasının səbəbidir.
Seçimi bir testlə yoxlayın
Qoşulma düyməsini deyil, nasazlıq rejimlərini yoxlayın. Bir dəfə qoşulun, VPN göstəricisinin göründüyünü təsdiqləyin, sonra ictimai ünvanınızı qaytaran səhifəni açıb əvvəlki ilə müqayisə edin. VPN-ə toxunmadan Wi-Fi-dan mobil məlumatlara keçin və yenidən qoşulmanı izləyin, sonra telefonu təyyarə rejimindən keçirin. Yenidən başladın və tunelin özü qayıdıb-qayıtmadığına baxın: OnDemandEnabled olan profil qayıtmalıdır, bir çox tətbiq isə əvvəlcə açılmalıdır.
Qayıtmadıqda, nasazlığı tunelin ümumiyyətlə olub-olmamasına görə bölün. VPN göstəricisinin olmaması tunelin heç vaxt qalxmadığını bildirir: ya əl sıxışması RemoteIdentifier, bərkidilmiş CA və ya etimadnamədə uğursuz oldu, ya da qoşulmaya heç cəhd edilmədi, çünki sorğu qaydası uyğun gəlmədi və heç bir tətbiq onu başlatmadı. Göstərici varsa, amma trafik uğursuzdursa, bu marşrutlaşdırma, DNS və ya server tərəfində siyasətdir və müştərini yenidən quraşdırmaq bunların heç birinə toxunmur.
Cihazı növbəti şəxs üçün izahlı saxlamaq üçün qısa siyahı:
- bir VPN qeydi, iki yox;
- profil və ya tətbiq qoşulduğu serverin adı ilə adlanıb;
- kimlik dəyərləri tapa biləcəyiniz yerdə yazılıb.
Cədvəldəki protokol sətrindən başlayın və suala cavab verirsə, orada dayanın.