VPN a l'iPhone: perfil natiu o aplicació del proveïdor?

Tres condicions decideixen com s'ha de configurar una VPN en un iPhone: quin protocol ofereix el servidor, si el telèfon es gestiona personalment o està supervisat, i què ha de passar quan canvia la xarxa. Un perfil de configuració natiu i una aplicació del proveïdor són mecanismes diferents, no dues maneres d'introduir la mateixa adreça. Encaixar-los amb aquestes condicions evita la majoria de configuracions que fallen després de la primera sortida de l'edifici.

El protocol és el primer filtre; el segon és qui controla el dispositiu.

Feu coincidir el protocol abans de l'App Store

iOS admet configuracions natives IKEv2, L2TP sobre IPsec i Cisco IPsec, cadascuna amb les seves opcions d'autenticació i camps de perfil. Altres protocols, com OpenVPN i WireGuard, arriben mitjançant una aplicació que fa servir el marc Network Extension. Un fitxer fet per a un no es pot seleccionar com a l'altre, i per això un perfil que s'importa net encara pot no connectar-se. Confirmeu el protocol del servidor abans de triar el client.

Demaneu al proveïdor la configuració exacta que espera per a iOS. Les instruccions d'escriptori sovint pressuposen funcions que el telèfon no exposa, i una exportació específica per al telèfon elimina aquestes conjectures.

Un perfil a nivell de sistema o un paquet d'aplicació

Un perfil natiu s'instal·la a nivell de sistema, així que la connexió pot existir abans que s'obri cap aplicació i pot ser gestionada per qui va proporcionar el perfil. Una aplicació del proveïdor empaqueta el túnel dins d'una aplicació, cosa que dona al proveïdor espai per a la seva interfície i el seu conjunt de funcions. En un telèfon de feina, un perfil gestionat pot portar certificats i regles d'accés a recursos concrets, i substituir-lo per una aplicació personal no és un intercanvi equivalent. Pregunteu a l'administrador abans de canviar res.

En un telèfon personal, comproveu la font abans d'aprovar un perfil. Les exportacions completes i els codis QR poden contenir credencials o una arrel de confiança, així que tracteu-los com a secrets i manteniu-los fora de captures de pantalla i converses.

Què promet realment On Demand

On Demand pot aixecar una connexió sota condicions que defineix Apple, i el model Always On supervisat té un comportament més estricte que un dispositiu personal no rep. No s'ha de suposar que l'etiqueta de connexió automàtica d'una aplicació de consum proporcioni cap de les dues coses. Les preguntes pràctiques són què passa abans que el túnel estigui disponible, què passa després d'una desconnexió manual i què passa quan el telèfon es reinicia. Reconectar automàticament i bloquejar el trànsit fora del túnel són promeses separades.

La cobertura és una tercera qüestió: la configuració pot portar tot el trànsit d'internet, un conjunt de destinacions privades o només aplicacions gestionades.

Proveu els canvis de xarxa i la revocació

Primer completeu l'inici de sessió al portal Wi-Fi mitjançant l'avís normal d'iOS, perquè un portal captiu no deixarà establir el túnel. Després proveu les transicions que realment viviu: de Wi-Fi a mòbil, de mòbil de tornada a Wi-Fi i el bloqueig de pantalla amb la connexió inactiva. Fixeu-vos si el túnel es recupera i si l'aplicació es recupera amb ell. Un nom de protocol no garanteix una trucada ininterrompuda durant un canvi de xarxa.

Una regió desada, una ubicació de dispositiu permesa i un inici de sessió de compte continu no són mesures de la sortida pública. Proveu l'aplicació prevista i les dues famílies d'adreces quan sigui rellevant, amb una comprovació que informi del que ha passat realment.

Per a un telèfon perdut, confirmeu la font del perfil i el procés de revocació. Esborrar una aplicació local no elimina necessàriament la seva autorització remota.