iPhone-VPN-App auf einem Apple-Silicon-Mac: Was tatsächlich läuft

Jemand installiert die iPhone-Version eines VPN-Clients auf einem Mac der M-Serie, sie öffnet sich, sie verbindet, und das Team beschließt, die Plattformfrage sei geklärt. Sie ist nicht geklärt. Was hier geklärt von bloß funktionierend trennt, ist der Unterschied zwischen einer App-Erweiterung innerhalb einer Benutzersitzung und einer Systemerweiterung mit globalem Kontext. Apple unterstützt tatsächlich Paket-Tunnel-Anbieter im Modell iOS-Apps auf dem Mac und führt diese Konstellation getrennt von nativem macOS und Mac Catalyst. Was diese Unterstützung bedeutet, ist enger, als es klingt. Sie besagt, dass die Konstellation erlaubt ist, nicht dass eine bestimmte App sie gut umsetzt oder dass der Tunnel abdeckt, was Sie annehmen.

Drei Konstellationen, eine Tabelle

Auf einem Mac zählen drei Konstellationen, und sie sind nicht austauschbar. Ein nativer macOS-Client liefert eine Systemerweiterung, die in einem globalen Kontext läuft und vorhanden sein kann, bevor sich jemand anmeldet. Eine iPhone-App auf Apple Silicon liefert eine App-Erweiterung, die innerhalb der Benutzersitzung läuft und mit ihr endet. Mac Catalyst gehört zur selben Paketierungsfamilie wie die Telefonversion, ist aber ein anderes Ziel mit eigener Bereitstellungszeile.

Der folgende Vergleich ist der Teil von Apples Bereitstellungsleitfaden, den man sich merken sollte, weil er die meisten Designfragen vor einem Anbietergespräch beantwortet.

Lesen Sie die Paketierungsspalte vor der Marketingleiste: Sie sagt zuverlässiger als jede Funktionsliste voraus, was bei der Abmeldung passiert.

Was eine erfolgreiche Anfrage belegt

Die Zeile iOS-Apps auf dem Mac ist eine echte unterstützte Konstellation und kein Simulator-Trick, weshalb die Frage immer wiederkehrt. Sie erbt auch die Verteilung über den Mac App Store, sodass eine App, deren Herausgeber nie die Mac-Verfügbarkeit aktiviert hat, nicht erscheint, so freizügig die Entwicklerdokumentation auch sein mag.

Eine funktionierende Verbindung belegt, dass eine Anfrage aus einer App ihr Ziel erreicht hat. Sie erfasst nicht den Resolver des Browsers, die ausgeschlossenen Apps, die zweite Adressfamilie oder die lokalen Geräte, die der Nutzer weiterhin erwartet. Ein Paket-Tunnel trägt, was seine Routen und sein Umfang sagen, und dieser Umfang stammt aus der Konfiguration der App, nicht aus der Existenz des Tunnels.

Die Lücke ist meist die Abdeckung pro App

Ein Client, der alles routet, ist leicht zu beschreiben und leicht zu testen. Einer mit einer definierten App-Liste braucht, dass diese Regeln in dieser Bereitstellung gelten, nicht nur im nativen Mac-Build. Zugriff auf lokale Geräte, Ausnahmen für geteilte Tunnel und alles, was von einem Menüleisten-Element abhängt, das die Telefonversion nie hatte, stoßen an dieselbe Wand.

Verlangen Sie den Umfang schriftlich und testen Sie dann den zweiten Fall statt des ersten. Jeder kann einen Browser vorführen, der über den Tunnel ins Internet gelangt.

Wo beide im Betrieb auseinandergehen

Die Sitzungsdauer ist der schärfste Unterschied und der im Demo am wenigsten sichtbare. Apple dokumentiert App-Erweiterungen als im Benutzerkontext laufend und mit der Abmeldung endend, also hat ein Mac, der bis zu einem Anmeldefenster neu startet, keinen Tunnel, bis sich jemand anmeldet. Deckt die Anforderung einen Rechner ab, der vor der Authentifizierung geschützt sein muss, kann die Telefonversion sie nicht erfüllen, wie das Profil auch geschrieben ist.

Alles andere ist vergleichsweise kosmetisch: ein Menüleisten-Symbol, wie DNS angezeigt wird, ob die App beenden darf, während der Tunnel bestehen bleibt. Das sind echte Nutzbarkeitsunterschiede und keine Architekturentscheidungen, ordnen Sie sie also nach der Sitzungsfrage ein.

Entscheiden Sie in fester Reihenfolge

Ordnen Sie die Fragen bewusst: unbeaufsichtigte Abdeckung zuerst, Umfang pro App zweitens, Verteilung drittens, Oberflächenfeinschliff zuletzt. Nur ein nativer Client mit Systemerweiterung beantwortet die erste, und er erreicht das Gerät über MDM plus ein verwaltetes Profil. Eine iOS-App auf Apple Silicon ist eine vernünftige Antwort, wenn jemand am Rechner sitzt, sich anmeldet und den Tunnel für diese Sitzung will.

Stellen Sie dem Herausgeber vor der Zusage drei konkrete Fragen. Wird der Paket-Tunnel-Anbieter in der Bereitstellung iOS-Apps auf dem Mac unterstützt, gelten dort Regeln pro App, und was passiert bei der Abmeldung. Ein Anbieter, der alle drei in einer Nachricht beantwortet, kennt seine Bereitstellungsfläche; einer, der nur die erste beantwortet, beschreibt eine App, die sich auf einem Mac öffnet.

Prüfen Sie dann auf dem Rechner, den Sie unterstützen werden, mit dem Konto und Gateway, die Sie tatsächlich nutzen. Eine Telefonversion, die sich mit einem Testgateway auf einem einzigen Laptop verbindet, ist ein Beleg, keine Bereitstellung.