VPN aplikacija ili ugrađeni IKEv2 na iPhoneu: kako odabrati
VPN aplikacija za iPhone i ugrađeni IKEv2 klijent rješavaju različite probleme. Najprije usporedite podršku protokolima, autentifikaciju, kontrolu uređaja i oporavak.
Prošli tjedan kolega mi je pružio svoj iPhone s dva VPN unosa u Postavkama: jedan je ostavila aplikacija pružatelja, drugi je iz IKEv2 profila zalijepljen sa stranice podrške. To nisu konkurentske verzije istoga. Aplikacija pružatelja je spremnik koji može nositi vlastiti kod tunela, dok je Appleov ugrađeni klijent IKEv2 klijent, konfiguriran ručno ili profilom. O izboru odlučuju protokol, rukovanje vjerodajnicama, kontrola uređaja i oporavak.
Aplikacija i izvorni klijent nalaze se na različitim slojevima
Appleov ugrađeni VPN klijent u praksi je IKEv2 klijent. Ručni obrazac još navodi zastarjeli L2TP preko IPsec i Cisco IPsec opcije, ali nema polja za prijenos pružatelja ni mjesta za lijepljenje OpenVPN ili WireGuard konfiguracije. Ili ispunite obrazac u Postavke > Općenito > VPN & Upravljanje uređajem ili uvezete profil s VPN sadržajem; površina je adresa poslužitelja, dva identiteta, metoda autentifikacije i neobavezna pravila na zahtjev.
Aplikacija pružatelja radi sloj više. Isporučuje Network Extension pružatelja paketnog tunela, pa kod protokola i logika usmjeravanja žive u aplikaciji, a iOS samo prosljeđuje pakete. Neke aplikacije implementiraju WireGuard ili OpenVPN, druge vlastiti zamućeni prijenos, a nekoliko ih samo instalira IKEv2 profil i upravlja izvornim klijentom iza ljepšeg zaslona. Zbog te posljednje skupine odabir aplikacije nasuprot profilu ponekad je lažni izbor.
Posljedica je praktična: datoteka .ovpn ili WireGuard ne zamjenjuje ta polja jer je rukovanje drugi protokol.
Pročitajte sadržaj prije nego usporedite značajke
Kad je profil IKEv2, ključevi sadržaja objašnjavaju više kvarova od bilo koje usporedbe značajki. Appleov referencija za IKEv2 postavke dokumentira svaki ključ; skraćeni sadržaj izgleda ovako:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Tri polja nose većinu dijagnostičke težine. RemoteIdentifier je naziv koji klijent očekuje od poslužitelja, pa pristupnik iza NAT-a ili balansirnik opterećenja čiji certifikat navodi skupinu umjesto adrese ne uspijeva iako je adresa ispravna. LocalIdentifier je identitet koji vam poslužitelj pripisuje, a uz autentifikaciju certifikatom mora odgovarati identitetu povezanom s vašim računom. ServerCertificateIssuerCommonName prikiva izdavatelja CA, pa profil može pretrpjeti neuspjeh na dan ponovne izdaje certifikata, bez poruke o pogrešci koja spominje certifikate.
Ako je AuthenticationMethod jednako SharedSecret, poslužitelj provodi EAP korisničku autentifikaciju i tajna koju ste dobili zapravo je vjerodajnica računa. To je važno kada pružatelj pošalje dva dokumenta, jedan za korisničko ime i lozinku i jedan za certifikat, a samo jedan odgovara onome što ste uvezli.
Što aplikacija može, a izvorni klijent ne
Odabir protokola očita je prednost. Ako vaš poslužitelj govori WireGuard ili OpenVPN, aplikacija je jedini iOS klijent koji ga može koristiti, a uređivanje izvornog obrasca to neće dogovoriti. Aplikacija može i implementirati podijeljeni tunel prema odredištu ili aplikaciji, vlastito rukovanje DNS-om, blokadu u stilu kill switcha, odabir poslužitelja i ponovno povezivanje prilagođeno vlastitoj mreži.
Cijena je softver koji niste revidirali i koji radi s ovlastima mrežnog proširenja. Kvaliteta varira više nego što kartice u trgovini sugeriraju: jedna se aplikacija čisto ponovno povezuje, a druga nakon promjene mreže nekoliko sekundi propušta promet, a kill switch unutar aplikacije značajka je te aplikacije, ne iOS-a. Na upravljanom uređaju najprije provjerite odobreni popis.
Što ugrađeni IKEv2 profil radi kako treba
Manje pokretnih dijelova cijeli je argument. IKEv2 klijent i njegov IPsec stog dolaze sa sustavom, pa nema proširenja koje se može srušiti, nema procesa po aplikaciji koji treba održavati živim i nema ciklusa ažuriranja treće strane između vas i tunela koji radi. Profil se može i zaključati: na nadziranom uređaju korisnik ne može ukloniti ono što je instalirala uprava, a Always On VPN, koji se ponovno povezuje na svakoj mreži bez korisničkog prekidača, postoji samo u tom nadziranom, profilom upravljanom obliku.
Ono što ugrađeni put ne daje jest fleksibilnost. Nema VPN-a po aplikaciji bez upravljanih aplikacija, nema kill switcha za korisnika ni prijenosa koji bi u mreži koja blokira IPsec izgledao kao HTTPS. U hotelskim mrežama koje odbacuju UDP 500 i 4500 ugrađeni IKEv2 nema rezervu.
Tablica odluka koja rješava većinu slučajeva
U praksi pitanje protokola odlučuje većinu slučajeva prije nego što značajke postanu važne.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Dva retka zaslužuju drugi pogled. Zahtjev za pojedinu aplikaciju na osobnom telefonu slučaj je koji ljudi pogrešno čitaju: postavka postoji u iOS-u, ali njome upravlja uprava, pa je neupravljani uređaj neće ponuditi. Blokirana mreža nije razlog za nepovjerenje prema IKEv2; to je razlog zašto aplikacija pružatelja postoji.
Provjerite izbor jednim testom
Testirajte načine kvara, ne gumb za povezivanje. Povežite se jednom, potvrdite da se pojavi VPN indikator, zatim otvorite stranicu koja vraća vašu javnu adresu i usporedite je s prethodnom. Prijeđite s Wi-Fi na mobilne podatke bez diranja VPN-a i pratite ponovno povezivanje, potom provedite telefon kroz zrakoplovni način. Ponovno pokrenite i pogledajte vraća li se tunel sam: profil s OnDemandEnabled bi trebao, dok mnoge aplikacije treba najprije otvoriti.
Kad se ne vrati, podijelite kvar prema tome postoji li tunel uopće. Nema VPN indikatora znači da tunel nikad nije nastao: ili je rukovanje neuspješno na RemoteIdentifier, prikivanom CA ili vjerodajnici, ili veza nikad nije pokušana jer se pravilo na zahtjev nije podudaralo i nijedna je aplikacija nije pokrenula. Indikator uz promet koji ne uspijeva znači usmjeravanje, DNS ili pravilo na strani poslužitelja, a ponovna instalacija klijenta ne dira ništa od toga.
Kratak popis da uređaj bude objašnjiv sljedećoj osobi:
- jedan VPN unos, ne dva;
- profil ili aplikacija nazvana po poslužitelju s kojim se povezuje;
- vrijednosti identiteta zapisane tamo gdje ih možete naći.
Počnite s retkom protokola u tablici i zaustavite se ondje ako odgovara na pitanje.