Personlig VPN eller pakketunnel: to VPN-modeller til iPhone
Den ene model konfigurerer iOS' indbyggede IPsec eller IKEv2; den anden leverer en udbyder, der implementerer sin egen protokol. Produktnavnet siger ikke, hvilken du fik.
To iPhone-apps kan begge placere en VPN-post i Indstillinger, begge kalde sig VPN-klienter og næsten ikke dele nogen implementering. Apple kalder en af disse integrationer Personlig VPN, og det navn skaber det meste af forvirringen. Personlig VPN er en API til at oprette og administrere konfigurationer, der bruger den indbyggede IPsec- eller IKEv2-implementering. En pakketunneludbyder er den anden model: appen leverer en udvidelse, der implementerer klientsiden af sin egen protokol. Alt, hvad folk derefter udleder af etiketten, fra cifre til ejerskab til hvorvidt telefonen skal administreres, er slutning snarere end udsagn.
Hvem implementerer tunnelen
Opdelingen afgør, hvem der er ansvarlig, når noget går i stykker. Med indbygget IPsec eller IKEv2 ejer iOS tunnelens tilstandsmaskine, og appen ejer konfigurationen og knapperne. Med en udbyder ejer appen begge, så en protokolfejl bliver en appopdatering i stedet for en styresystemopdatering.
Sammenligningen er kort, hvis du spørger, hvem der implementerer protokollen.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Personlig VPN-dokumentation nævner også den udtrykkelige brugerautorisationsprompt, når en app første gang gemmer en konfiguration, hvilket hører til den model og ikke til VPN-apps generelt.
To påstande om etiketten, som er værd at afskaffe
Den første er, at Personlig VPN vælger en cipher. Det gør den ikke; den forhandlede suite kommer fra protokollen og dens konfiguration, og en Personlig-etiket siger intet om, hvilken du får. Den anden er, at Personlig VPN antyder en proxy eller en begrænset tunnel. Den antyder indbygget IPsec eller IKEv2, hvilket er en fuld tunnel, når ruterne siger det.
Tilstedeværelsen af en app er derfor intet bevis om ledningsprotokollen. En tredjepartsklient, der taler WireGuard eller OpenVPN, er af konstruktion en udbyderapp, fordi iOS ikke implementerer disse protokoller indbygget.
Hvorfor virksomhedsordlyden vildleder
Apples dokumentation klassificerer NETunnelProviderManager-konfigurationer som almindelige virksomheds-VPN-konfigurationer. Den formulering er en API-kategori, og den skubber folk mod to modsatte fejl: at antage, at en forbrugerapp ikke kan bruge udbyder-modellen, og at antage, at telefonen skal være under opsyn for det. Ingen af delene følger. Forbrugerapps leverer rutinemæssigt udbydere, og opsyn er et separat spørgsmål om, hvem der må håndhæve politik.
Administrationsejerskab er det fjerde spørgsmål, og det er uafhængigt af begge modeller. En konfiguration, der installeres af en organisation, bærer sin egen identitet, trafikomfang og livscyklusregler, og de rejser med profilen snarere end med den app, der tilfældigvis er installeret. Læs dem sammen med integrationsmodellen, fordi en administreret indbygget profil og en uadministreret udbyderprofil kan ligge på samme telefon samtidig.
Tjek beviset i stedet for skærmbilledet
Skærmbilleder er det dårligste bevis, der findes, fordi grupperingen i Indstillinger ændrer sig mellem versioner. En administreret profil navngiver sin egen nyttelasttype: en indbygget profil erklærer en VPN-type som IKEv2 eller IPsec, mens en udbyderprofil bærer en undertype, der navngiver udbyderens bundle-id. Det kan kontrolleres på enheden foran dig, og det overlever den næste redesign.
For selve appen besvarer den anvendte klasse det samme spørgsmål fra den anden side: konfigurationsobjekter fra Personlig VPN-API'en eller en udbydermanager og dens udvidelse.
Vælg derefter efter, hvad operatøren faktisk leverer. Hvor der findes en kompatibel indbygget profil, har den indbyggede vej færre bevægelige dele og én ting mindre at opdatere. Hvor tjenesten har brug for en protokol, som iOS ikke leverer, er en udbyderapp den eneste mulighed, og dens udgivelsesrytme bliver en del af din risiko.
Behold posten sammen med forbindelsen
Knyt autentificering og ressourcepolitik til forbindelsesposten i stedet for til appen, så en geninstallation ikke tager autorisationsmodellen med sig. Den post er også, hvad en supportingeniør har brug for, når tunnelen kommer op, og intet andet virker.
Spørgsmålet, der er værd at stille til sidst, er ikke, hvilken model der er bedre. Det er, hvilken model din operatør understøtter, og hvilken du kan fejlfinde klokken to om natten med de værktøjer, du faktisk har.