Osobní VPN, nebo paketový tunel: dva modely VPN pro iPhone

Dvě aplikace pro iPhone mohou obě zapsat položku VPN do Nastavení, obě si říkat klienti VPN a sdílet téměř žádnou implementaci. Apple jednu z těchto integrací nazývá Osobní VPN a právě to jméno vytváří většinu zmatku. Osobní VPN je API pro vytváření a správu konfigurací, které používají vestavěnou implementaci IPsec nebo IKEv2. Poskytovatel paketového tunelu je druhý model: aplikace dodává rozšíření, které implementuje klientskou stranu vlastního protokolu. Vše, co lidé potom z toho označení vyvozují, od šifer po vlastnictví až po to, zda musí být telefon spravován, je odvození, nikoli tvrzení.

Kdo tunel implementuje

Toto rozdělení rozhoduje, kdo nese odpovědnost, když se něco pokazí. U vestavěného IPsec nebo IKEv2 vlastní iOS stavový automat tunelu a aplikace vlastní konfiguraci a tlačítka. U poskytovatele vlastní aplikace obojí, takže chyba protokolu se stane aktualizací aplikace místo aktualizace operačního systému.

Srovnání je krátké, pokud se zeptáte, kdo implementuje protokol.

Dokumentace Osobní VPN také zmiňuje výslovnou výzvu k autorizaci uživatele, když aplikace poprvé uloží konfiguraci, což patří k tomuto modelu, a ne k aplikacím VPN obecně.

Dvě tvrzení o označení, která stojí za to opustit

První je, že Osobní VPN vybírá šifru. Nevybírá; vyjednaná sada pochází z protokolu a jeho konfigurace a označení Osobní neříká nic o tom, kterou dostanete. Druhé je, že Osobní VPN znamená proxy nebo omezený tunel. Znamená vestavěný IPsec nebo IKEv2, což je plný tunel vždy, když to trasy říkají.

Přítomnost aplikace tedy není důkazem o drátovém protokolu. Klient třetí strany mluvící WireGuard nebo OpenVPN je konstrukčně aplikací poskytovatele, protože iOS tyto protokoly nativně neimplementuje.

Proč podnikové formulace mate

Dokumentace Applu klasifikuje konfigurace NETunnelProviderManager jako běžné podnikové konfigurace VPN. Tato formulace je kategorie API a tlačí lidi ke dvěma opačným chybám: domněnce, že spotřebitelská aplikace nemůže použít model poskytovatele, a domněnce, že telefon kvůli tomu musí být pod dohledem. Ani jedno nevyplývá. Spotřebitelské aplikace poskytovatele běžně dodávají a dohled je samostatná otázka o tom, kdo smí prosazovat zásady.

Vlastnictví správy je ta čtvrtá otázka a je nezávislé na obou modelech. Konfigurace nainstalovaná organizací nese vlastní identitu, rozsah provozu a pravidla životního cyklu a ta cestují s profilem, nikoli s aplikací, která je zrovna nainstalovaná. Čtěte je spolu s modelem integrace, protože spravovaný vestavěný profil a nespravovaný profil poskytovatele mohou sedět v jednom telefonu současně.

Ověřte důkaz místo snímku obrazovky

Snímky obrazovky jsou nejhorší dostupný důkaz, protože seskupení v Nastavení se mezi verzemi mění. Spravovaný profil pojmenovává svůj vlastní typ obsahu: vestavěný profil deklaruje typ VPN, jako je IKEv2 nebo IPsec, zatímco profil poskytovatele nese podtyp s identifikátorem balíčku poskytovatele. To je ověřitelné na zařízení před vámi a přežije to i příští redesign.

Pokud jde o samotnou aplikaci, použitá třída odpovídá na stejnou otázku z druhé strany: konfigurační objekty z API Osobní VPN, nebo správce poskytovatele a jeho rozšíření.

Pak vybírejte podle toho, co operátor skutečně poskytuje. Kde existuje kompatibilní nativní profil, má vestavěná cesta méně pohyblivých částí a o jednu věc méně k aktualizaci. Kde služba potřebuje protokol, který iOS nedodává, je aplikace poskytovatele jedinou možností a její tempo vydání se stává součástí vašeho rizika.

Uchovávejte záznam s připojením

Připojte autentizaci a zásady zdrojů k záznamu připojení, nikoli k aplikaci, aby reinstalace nevzala model autorizace s sebou. Tento záznam je také to, co potřebuje inženýr podpory, když tunel naskočí a nic jiného nefunguje.

Otázka, kterou stojí za to si na konci položit, není, který model je lepší. Je to, který model váš operátor podporuje a který dokážete ladit ve dvě ráno s nástroji, které skutečně máte.