Личен VPN или пакетен тунел: два модела VPN за iPhone
Единият модел настройва вградения в iOS IPsec или IKEv2; другият доставя доставчик със собствен протокол. Името на продукта не казва кой от двата сте получили.
Две приложения за iPhone могат и двете да поставят запис за VPN в Настройки, и двете да се наричат VPN клиенти и почти да не споделят никаква реализация. Apple нарича една от тези интеграции Personal VPN и именно това име създава по-голямата част от объркването. Personal VPN е API за създаване и управление на конфигурации, които използват вградената реализация на IPsec или IKEv2. Доставчикът на пакетен тунел е другият модел: приложението доставя разширение, което реализира клиентската страна на собствения му протокол. Всичко, което хората по-късно извеждат от етикета — от шифри до собственост и до това дали телефонът трябва да се управлява — е извод, а не твърдение.
Кой реализира тунела
Това разделение решава кой носи отговорност, когато нещо се счупи. При вграден IPsec или IKEv2 iOS притежава машината на състоянията на тунела, а приложението притежава конфигурацията и бутоните. При доставчик приложението притежава и двете, така че грешка в протокола става актуализация на приложението, а не на операционната система.
Сравнението е кратко, ако попитате кой реализира протокола.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Документацията на Personal VPN отбелязва също изричното запитване за разрешение от потребителя, когато приложение за първи път запази конфигурация, което принадлежи на този модел, а не на VPN приложенията изобщо.
Две твърдения за етикета, които си струва да оставим
Първото е, че Personal VPN избира шифър. Не избира; договореният набор идва от протокола и неговата конфигурация и етикетът Personal не казва нищо за това кой ще получите. Второто е, че Personal VPN означава прокси или ограничен тунел. Той означава вграден IPsec или IKEv2, което е пълен тунел винаги когато маршрутите го казват.
Следователно наличието на приложение не е доказателство за протокола по кабела. Клиент на трета страна, който говори WireGuard или OpenVPN, по конструкция е приложение-доставчик, защото iOS не реализира тези протоколи нативно.
Защо корпоративната формулировка подвежда
Документацията на Apple класифицира конфигурациите на NETunnelProviderManager като обикновени корпоративни VPN конфигурации. Тази формулировка е категория на API и тласка хората към две противоположни грешки: да предполагат, че потребителско приложение не може да използва модела на доставчика, и да предполагат, че телефонът трябва да бъде под надзор за това. Нито едното следва. Потребителските приложения редовно доставят доставчици, а надзорът е отделен въпрос за това кой може да налага политика.
Собствеността на управлението е този четвърти въпрос и е независима от двата модела. Конфигурация, инсталирана от организация, носи своята идентичност, обхват на трафика и правила за жизнения цикъл и те пътуват с профила, а не с приложението, което случайно е инсталирано. Четете ги заедно с модела на интеграция, защото управляван вграден профил и неуправляван профил на доставчик могат да стоят на един телефон едновременно.
Проверявайте доказателството, а не екранната снимка
Екранните снимки са най-лошото налично доказателство, защото групирането в Настройки се променя между версиите. Управляваният профил посочва своя тип полезен товар: вграденият профил декларира тип VPN като IKEv2 или IPsec, докато профилът на доставчик носи подтип с идентификатора на пакета на доставчика. Това е проверимо на устройството пред вас и оцелява при следващия редизайн.
Що се отнася до самото приложение, използваният клас отговаря на същия въпрос от другата страна: конфигурационни обекти от API на Personal VPN или мениджър на доставчик и неговото разширение.
После избирайте по това, което операторът всъщност предоставя. Където има съвместим нативен профил, вграденият път има по-малко движещи се части и едно нещо по-малко за актуализиране. Където услугата се нуждае от протокол, който iOS не доставя, приложението-доставчик е единствената опция и неговият ритъм на издания става част от вашия риск.
Пазете записа заедно с връзката
Прикачете удостоверяването и политиката за ресурси към записа за връзката, а не към приложението, така че преинсталирането да не отнеме модела за оторизация със себе си. Този запис е и това, което инженерът по поддръжката се нуждае, когато тунелът се вдигне и нищо друго не работи.
Въпросът, който си струва да зададете накрая, не е кой модел е по-добър. А кой модел поддържа вашият оператор и кой от двата можете да отстранявате в два часа през нощта с инструментите, които действително имате.