Асабісты VPN ці пакетны тунэль: два мадэлі VPN для iPhone
Адзін мадэль наладжвае ўбудаваныя IPsec або IKEv2 у iOS; другі пастаўляе правайдэра з уласным пратаколам. Назва прадукту не гаворыць, што вы атрымалі.
Дзве праграмы для iPhone могуць абедзве стварыць запіс VPN у Наладах, абедзве называць сябе кліентамі VPN і амаль не мець агульнай рэалізацыі. Apple называе адну з такіх інтэграцый Personal VPN, і менавіта гэтая назва спараджае большую частку блытаніны. Personal VPN — гэта API для стварэння і кіравання канфігурацыямі, якія выкарыстоўваюць убудаваную рэалізацыю IPsec або IKEv2. Правайдэр пакетнага тунэлю — іншая мадэль: праграма пастаўляе пашырэнне, якое рэалізуе кліенцкі бок уласнага пратаколу. Усё, што людзі потым выводзяць з гэтай назвы — ад шыфраў да ўласнасці і да таго, ці павінен тэлефон быць пад кіраваннем — гэта здагадка, а не сцвярджэнне.
Хто рэалізуе тунэль
Гэтае раздзяленне вызначае, хто адказвае, калі нешта ламаецца. З убудаванымі IPsec або IKEv2 тунэлем валодае iOS, а праграма валодае канфігурацыяй і кнопкамі. З правайдэрам праграма валодае абодвума, таму памылка пратаколу становіцца абнаўленнем праграмы, а не абнаўленнем АС.
Параўнанне кароткае, калі спытаць, хто рэалізуе пратакол.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Дакументацыя Personal VPN таксама адзначае відавочнае запытанне згоды карыстальніка, калі праграма ўпершыню захоўвае канфігурацыю; гэта адносіцца да гэтай мадэлі, а не да праграм VPN наогул.
Дзве заявы пра назву, якія варта адкінуць
Першая — што Personal VPN выбірае шыфр. Не выбірае; узгоджаны набор паходзіць з пратаколу і яго канфігурацыі, і назва Personal нічога не кажа пра тое, які вы атрымаеце. Другая — што Personal VPN азначае проксі або абмежаваны тунэль. Яна азначае ўбудаваныя IPsec або IKEv2, а гэта поўны тунэль кожны раз, калі маршруты так кажуць.
Такім чынам, наяўнасць праграмы не з'яўляецца доказам пра фізічны пратакол. Кліент трэцяга боку, які гаворыць па WireGuard або OpenVPN, пабудовай з'яўляецца праграмай-правайдэрам, бо iOS не рэалізуе гэтыя пратаколы натыўна.
Чаму карпаратыўная фармулёўка ўводзіць у зман
Дакументацыя Apple класіфікуе канфігурацыі NETunnelProviderManager як звычайныя карпаратыўныя канфігурацыі VPN. Гэтая фармулёўка — гэта катэгорыя API, і яна штурхае людзей да дзвюх процілеглых памылак: меркаваць, што спажывецкая праграма не можа выкарыстоўваць мадэль правайдэра, і меркаваць, што тэлефон павінен быць пад наглядам для гэтага. Ні адно не вынікае. Спажывецкія праграмы рэгулярна пастаўляюць правайдэраў, а нагляд — асобнае пытанне пра тое, хто можа ўводзіць палітыку.
Уласнасць кіравання — гэта чацвёртае пытанне, і яно не залежыць ад абодвух мадэляў. Канфігурацыя, усталяваная арганізацыяй, нясе сваю ідэнтычнасць, аб'ём трафіку і правілы жыццёвага цыклу, і ўсё гэта ідзе з профілем, а не з той праграмай, якая выпадкова ўсталяваная. Чытайце іх разам з мадэллю інтэграцыі, бо кіраваны ўбудаваны профіль і некіраваны профіль правайдэра могуць знаходзіцца на адным тэлефоне адначасова.
Правярайце доказы, а не здымак экрана
Здымкі экрана — горшы доказ, які ёсць, бо групоўка ў Наладах змяняецца ад выпуску да выпуску. Кіраваны профіль называе свой тып карыснай нагрузкі: убудаваны профіль аб'яўляе тып VPN, такі як IKEv2 або IPsec, а профіль правайдэра нясе падтып з ідэнтыфікатарам пакета правайдэра. Гэта можна праверыць на прыладзе перад вамі, і гэта перажыве наступны рэдызайн.
Што да самой праграмы, клас, які выкарыстоўваецца, адказвае на тое ж пытанне з іншага боку: аб'екты канфігурацыі з API Personal VPN або менеджар правайдэра і яго пашырэнне.
Затым выбірайце па тым, што аператар фактычна прадастаўляе. Дзе ёсць сумяшчальны натыўны профіль, убудаваны шлях мае менш рухомых частак і на адну рэч менш для абнаўлення. Дзе паслуга патрабуе пратаколу, які iOS не пастаўляе, праграма-правайдэр — адзіны варыянт, і яе частата выпускаў становіцца часткай вашай рызыкі.
Трымайце запіс разам з злучэннем
Прывяжыце аўтэнтыфікацыю і палітыку рэсурсаў да запісу злучэння, а не да праграмы, каб пераўсталяванне не забірала мадэль аўтарызацыі з сабой. Гэты запіс таксама патрэбны інжынеру падтрымкі, калі тунэль узнімаецца, а болей нічога не працуе.
Пытанне, якое варта задаць у канцы, — не якая мадэль лепшая. А якая мадэль падтрымліваецца вашым аператарам і якую вы зможаце адладзіць у другой гадзіне ночы тымі інструментамі, якія ў вас сапраўды ёсць.