Ap VPN neu IKEv2 adeiledig ar iPhone: sut i ddewis

Yr wythnos diwethaf estynnodd cydweithiwr ei iPhone i mi gyda dau gofnod VPN yn y Gosodiadau: un wedi’i adael gan ap darparwr, un arall o broffil IKEv2 a ludo o dudalen gymorth. Nid ydynt yn fersiynau cystadleuol o’r un peth. Mae ap darparwr yn gynwysydd sy’n gallu cario ei god twnnel ei hun, tra bod cleient adeiledig Apple yn gleient IKEv2, wedi’i ffurfweddu â llaw neu trwy broffil. Y protocol, trin tystlythyrau, rheolaeth dyfais ac adferiad sy’n penderfynu’r dewis.

Mae’r ap a’r cleient brodorol ar wahanol haenau

Mae cleient VPN adeiledig Apple yn ymarferol yn gleient IKEv2. Mae’r ffurflen â llaw yn dal i restru’r L2TP dros IPsec a’r opsiynau Cisco IPsec sydd wedi darfod, ond nid oes maes cludo darparwr na lle i ludo ffurfweddiad OpenVPN neu WireGuard. Naill ai byddwch yn llenwi ffurflen yn Gosodiadau > Cyffredinol > VPN & Rheolaeth Dyfais neu’n mewngludo proffil â llwyth VPN; yr wyneb yw cyfeiriad gweinydd, dau hunaniaeth, dull dilysu a rheolau ar alw dewisol.

Mae ap darparwr yn gweithio un haen yn uwch. Mae’n darparu darparwr twnnel pecynnau Network Extension, felly mae cod y protocol a rhesymeg y llwybrau yn byw yn yr ap ac mae iOS yn unig yn pasio pecynnau. Mae rhai apiau’n gweithredu WireGuard neu OpenVPN, eraill cludo cymylog eu hunain, ac ychydig yn unig yn gosod proffil IKEv2 ac yn gyrru’r cleient brodorol y tu ôl i sgrin brafiach. Y grŵp olaf hwn yw’r rheswm pam mae ap yn erbyn proffil weithiau’n ddewis ffug.

Mae’r canlyniad yn ymarferol: nid yw ffeil .ovpn neu WireGuard yn disodli’r meysydd hynny, oherwydd protocol arall yw’r ysgwyd llaw.

Darllenwch y llwyth cyn cymharu nodweddion

Pan fo’r proffil yn IKEv2, mae allweddi’r llwyth yn esbonio mwy o fethiannau nag unrhyw gymhariaeth nodweddion. Mae cyfeirlyfr gosodiadau IKEv2 Apple yn dogfennu pob allwedd; mae llwyth byr yn edrych fel hyn:

<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>

Mae tri maes yn cario’r rhan fwyaf o’r pwysau diagnostig. RemoteIdentifier yw’r enw y mae’r cleient yn ei ddisgwyl gan y gweinydd, felly mae porth y tu ôl i NAT neu gydbwyso llwyth y mae ei dystysgrif yn enwi’r pwll yn lle’r cyfeiriad yn methu hyd yn oed pan fo’r cyfeiriad yn gywir. LocalIdentifier yw’r hunaniaeth y mae’r gweinydd yn credu ydych chi, ac wrth ddilysu â thystysgrif rhaid iddi gyd-fynd â’r hunaniaeth sy’n gysylltiedig â’ch cyfrif. ServerCertificateIssuerCommonName yn pinio’r CA sy’n cyhoeddi, felly gall proffil fethu ar y diwrnod y caiff y dystysgrif ei hailgyhoeddi, heb i unrhyw neges gwall sôn am dystysgrifau.

Os yw AuthenticationMethod yn hafal i SharedSecret, mae’r gweinydd yn gwneud dilysu defnyddiwr EAP ac mae’r gyfrinach a gawsoch mewn gwirionedd yn dystlythyr cyfrif. Mae hynny’n bwysig pan fo darparwr yn anfon dau ddogfen, un ar gyfer enw defnyddiwr a chyfrinair ac un ar gyfer tystysgrif, a dim ond un sy’n cyd-fynd â’r hyn a fewngludoch chi.

Beth all yr ap ei wneud na all y cleient brodorol

Dewis protocol yw’r fantais amlwg. Os yw’ch gweinydd yn siarad WireGuard neu OpenVPN, yr ap yw’r unig gleient iOS a all ei ddefnyddio, ac ni fydd golygu’r ffurflen frodorol yn trafod hynny. Gall ap hefyd weithredu twnnel hollt yn ôl cyrchfan neu ap, ei drin DNS ei hun, blocio ar ffurf kill switch, dewis gweinydd ac ailgysylltu wedi’i diwnio i’w rwydwaith ei hun.

Y pris yw meddalwedd nad ydych wedi’i archwilio, yn rhedeg â braint estyniad rhwydwaith. Mae ansawdd yn amrywio mwy nag y mae cardiau’r siop yn ei awgrymu: mae un ap yn ailgysylltu’n lân tra bod un arall yn gollwng am ychydig eiliadau ar ôl newid rhwydwaith, ac mae kill switch y tu mewn i’r ap yn nodwedd o’r ap hwnnw, nid o iOS. Ar ddyfais a reolir, gwiriwch y rhestr gymeradwy gyntaf.

Beth mae’r proffil IKEv2 adeiledig yn ei wneud yn iawn

Llai o rannau symudol yw’r ddadl gyfan. Daw’r cleient IKEv2 a’i stac IPsec gyda’r system weithredu, felly nid oes estyniad a all ddisgyn, dim proses fesul ap i’w chadw’n fyw, a dim cylch diweddaru trydydd parti rhyngoch chi a thwnnel sy’n gweithio. Gellir cloi proffil hefyd: ar ddyfais dan oruchwyliaeth ni all y defnyddiwr dynnu’r hyn a osodwyd gan reolaeth, ac mae Always On VPN, sy’n ailgysylltu ar unrhyw rwydwaith heb switsh defnyddiwr, yn bodoli dim ond yn y ffurf honno dan oruchwyliaeth, wedi’i reoli gan broffil.

Yr hyn nad yw’r llwybr adeiledig yn ei roi yw hyblygrwydd. Nid oes VPN fesul ap heb apiau a reolir, dim kill switch i’r defnyddiwr, a dim cludo sy’n edrych fel HTTPS ar rwydwaith sy’n blocio IPsec. Mewn rhwydweithiau gwesty sy’n gollwng UDP 500 a 4500, nid oes gan IKEv2 adeiledig unrhyw lwybr wrth gefn.

Tabl penderfyniad sy’n setlo’r rhan fwyaf o achosion

Yn ymarferol, y cwestiwn protocol sy’n penderfynu’r rhan fwyaf o achosion cyn i nodweddion fod o bwys.

Mae dau res yn haeddu ail gip. Mae’r gofyniad fesul ap ar ffôn personol yn achos y mae pobl yn ei ddarllen yn anghywir: mae’r gosodiad yn iOS ond rheolaeth sy’n ei yrru, felly ni fydd dyfais nad yw’n cael ei rheoli yn ei gynnig. Nid yw rhwydwaith wedi’i blocio’n rheswm i beidio ag ymddiried yn IKEv2; dyna’r rheswm pam mae ap y darparwr yn bodoli.

Gwiriwch y dewis ag un prawf

Profwch y dulliau methu, nid y botwm cysylltu. Cysylltwch unwaith, cadarnhewch fod y dangosydd VPN yn ymddangos, yna agorwch dudalen sy’n dychwelyd eich cyfeiriad cyhoeddus a chymharwch â’r un blaenorol. Newidiwch o Wi-Fi i ddata symudol heb gyffwrdd â’r VPN ac arsylwch ailgysylltiad, yna ewch â’r ffôn drwy fodd awyren. Ailgychwynnwch a gwelwch a yw’r twnnel yn dychwelyd ar ei ben ei hun: dylai proffil ag OnDemandEnabled, tra bod yn rhaid agor llawer o apiau yn gyntaf.

Pan nad yw’n dychwelyd, rhannwch y methiant yn ôl a oes twnnel o gwbl. Nid oes dangosydd VPN yn golygu na chododd y twnnel erioed: naill ai methodd yr ysgwyd llaw ar RemoteIdentifier, y CA wedi’i binio neu dystlythyr, neu ni phrofwyd y cysylltiad erioed oherwydd nad oedd y rheol ar alw yn cyfateb ac na chychwynnodd unrhyw ap ef. Mae dangosydd â thraffig yn methu yn golygu llwybro, DNS neu bolisi ochr y gweinydd, ac nid yw ailosod y cleient yn cyffwrdd dim o hynny.

Rhestr fer i adael y ddyfais yn egluradwy i’r person nesaf:

• un cofnod VPN, nid dau;
• y proffil neu’r ap wedi’i enwi ar ôl y gweinydd y mae’n cysylltu ag ef;
• y gwerthoedd hunaniaeth wedi’u hysgrifennu lle gallwch eu cael.

Dechreuwch gyda rhes y protocol yn y tabl, ac arhoswch yno os yw’n ateb y cwestiwn.