Persönliches VPN oder Paket-Tunnel: zwei VPN-Modelle für das iPhone
Das eine Modell konfiguriert das in iOS eingebaute IPsec oder IKEv2; das andere liefert einen Anbieter, der sein eigenes Protokoll implementiert. Der Produktname verrät nicht, welches Sie bekommen haben.
Zwei iPhone-Apps können beide einen VPN-Eintrag in den Einstellungen anlegen, beide sich VPN-Clients nennen und fast keine Implementierung teilen. Apple nennt eine dieser Integrationen Persönliches VPN, und dieser Name erzeugt den größten Teil der Verwirrung. Persönliches VPN ist eine API zum Erstellen und Verwalten von Konfigurationen, die die eingebaute IPsec- oder IKEv2-Implementierung nutzen. Ein Paket-Tunnel-Anbieter ist das andere Modell: Die App liefert eine Erweiterung, die die Client-Seite ihres eigenen Protokolls implementiert. Alles, was Menschen danach aus dem Etikett ableiten, von Verschlüsselungsverfahren über Eigentum bis hin dazu, ob das Telefon verwaltet werden muss, ist eine Schlussfolgerung und keine Aussage.
Wer den Tunnel implementiert
Die Aufteilung entscheidet, wer verantwortlich ist, wenn etwas kaputtgeht. Beim eingebauten IPsec oder IKEv2 gehört iOS die Zustandsmaschine des Tunnels, und die App besitzt die Konfiguration und die Schaltflächen. Bei einem Anbieter besitzt die App beides, sodass ein Protokollfehler zu einem App-Update statt zu einem Betriebssystem-Update wird.
Der Vergleich ist kurz, wenn man fragt, wer das Protokoll implementiert.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Die Dokumentation zu Persönlichem VPN erwähnt außerdem die ausdrückliche Nutzerautorisierung, wenn eine App erstmals eine Konfiguration speichert, was zu diesem Modell gehört und nicht zu VPN-Apps im Allgemeinen.
Zwei Aussagen über das Etikett, die man fallen lassen sollte
Die erste ist, dass Persönliches VPN eine Verschlüsselung auswählt. Das tut es nicht; die ausgehandelte Suite stammt aus dem Protokoll und seiner Konfiguration, und ein Etikett Persönlich sagt nichts darüber, welche Sie bekommen. Die zweite ist, dass Persönliches VPN einen Proxy oder einen eingeschränkten Tunnel bedeutet. Es bedeutet eingebautes IPsec oder IKEv2, was immer dann ein vollständiger Tunnel ist, wenn die Routen es sagen.
Die Existenz einer App ist daher kein Beweis für das Drahtprotokoll. Ein Drittanbieter-Client, der WireGuard oder OpenVPN spricht, ist konstruktionsbedingt eine Anbieter-App, weil iOS diese Protokolle nicht nativ implementiert.
Warum die Unternehmensformulierung irreführt
Apples Dokumentation klassifiziert NETunnelProviderManager-Konfigurationen als reguläre Unternehmens-VPN-Konfigurationen. Diese Formulierung ist eine API-Kategorie, und sie treibt Menschen zu zwei entgegengesetzten Fehlern: anzunehmen, eine Verbraucher-App könne das Anbietermodell nicht nutzen, und anzunehmen, das Telefon müsse dafür überwacht werden. Weder folgt daraus. Verbraucher-Apps liefern Anbieter routinemäßig, und Überwachung ist eine separate Frage darüber, wer Richtlinien durchsetzen darf.
Verwaltungseigentum ist diese vierte Frage, und sie ist unabhängig von beiden Modellen. Eine von einer Organisation installierte Konfiguration trägt ihre eigene Identität, ihren Verkehrsumfang und ihre Lebenszyklusregeln, und diese reisen mit dem Profil und nicht mit der jeweils installierten App. Lesen Sie sie zusammen mit dem Integrationsmodell, denn ein verwaltetes eingebautes Profil und ein unverwaltetes Anbieterprofil können gleichzeitig auf einem Telefon liegen.
Prüfen Sie den Beleg statt des Screenshots
Screenshots sind der schlechteste verfügbare Beleg, weil sich die Gruppierung in den Einstellungen zwischen Releases ändert. Ein verwaltetes Profil benennt seinen eigenen Nutzlasttyp: Ein eingebautes Profil deklariert einen VPN-Typ wie IKEv2 oder IPsec, während ein Anbieterprofil einen Subtyp trägt, der den Bundle-Identifier des Anbieters nennt. Das ist auf dem Gerät vor Ihnen prüfbar, und es übersteht das nächste Redesign.
Für die App selbst beantwortet die verwendete Klasse dieselbe Frage von der anderen Seite: Konfigurationsobjekte aus der Persönliches-VPN-API oder ein Anbietermanager und seine Erweiterung.
Wählen Sie dann danach, was der Betreiber tatsächlich liefert. Wo ein kompatibles natives Profil existiert, hat der eingebaute Weg weniger bewegliche Teile und eine Sache weniger zu aktualisieren. Wo der Dienst ein Protokoll braucht, das iOS nicht mitliefert, ist eine Anbieter-App die einzige Option, und ihr Release-Rhythmus wird Teil Ihres Risikos.
Bewahren Sie den Datensatz zusammen mit der Verbindung auf
Verknüpfen Sie Authentifizierung und Ressourcenrichtlinie mit dem Verbindungsdatensatz statt mit der App, damit eine Neuinstallation das Autorisierungsmodell nicht mitnimmt. Dieser Datensatz ist auch das, was ein Supportingenieur braucht, wenn der Tunnel hochkommt und sonst nichts funktioniert.
Die Frage, die am Ende zu stellen lohnt, ist nicht, welches Modell besser ist. Sie lautet, welches Modell Ihr Betreiber unterstützt und welches Sie um zwei Uhr morgens mit den Werkzeugen, die Sie tatsächlich haben, debuggen können.