VPN auf dem iPhone: natives Profil oder Anbieter-App?

Drei Bedingungen entscheiden, wie ein VPN auf einem iPhone eingerichtet werden sollte: welches Protokoll der Server anbietet, ob das Telefon persönlich verwaltet oder überwacht wird und was geschehen muss, wenn das Netzwerk wechselt. Ein natives Konfigurationsprofil und eine Anbieter-App sind verschiedene Mechanismen, nicht zwei Wege, dieselbe Adresse einzugeben. Wer beides mit diesen Bedingungen abstimmt, vermeidet die meisten Einrichtungen, die nach dem ersten Verlassen des Gebäudes scheitern.

Das Protokoll ist der erste Filter; der zweite ist, wer das Gerät kontrolliert.

Gleichen Sie das Protokoll vor dem App Store ab

iOS unterstützt native Konfigurationen für IKEv2, L2TP über IPsec sowie Cisco IPsec, jede mit eigenen Authentifizierungsoptionen und Profilfeldern. Andere Protokolle, darunter OpenVPN und WireGuard, kommen über eine App, die das Network-Extension-Framework nutzt. Eine für das eine gebaute Datei lässt sich nicht als das andere auswählen, und deshalb kann ein sauber importiertes Profil trotzdem keine Verbindung aufbauen. Bestätigen Sie das Protokoll des Servers, bevor Sie den Client wählen.

Fragen Sie den Anbieter nach der genauen Konfiguration, die er für iOS erwartet. Desktop-Anleitungen setzen oft Funktionen voraus, die das Telefon nicht bereitstellt, und ein telefonspezifischer Export beseitigt das Raten.

Ein Profil auf Systemebene oder ein App-Bundle

Ein natives Profil wird auf Systemebene installiert, sodass die Verbindung bestehen kann, bevor eine App geöffnet wird, und von dem verwaltet werden kann, der das Profil bereitgestellt hat. Eine Anbieter-App bündelt den Tunnel in einer Anwendung und gibt dem Anbieter Raum für eigene Oberfläche und Funktionen. Auf einem Arbeitshandy kann ein verwaltetes Profil Zertifikate und Zugriffsregeln für bestimmte Ressourcen tragen, und es durch eine private App zu ersetzen ist kein gleichwertiger Tausch. Fragen Sie den Administrator, bevor Sie etwas ändern.

Prüfen Sie bei einem privaten Telefon die Quelle, bevor Sie ein Profil bestätigen. Vollständige Exporte und QR-Codes können Anmeldedaten oder eine vertrauenswürdige Wurzel enthalten, behandeln Sie sie daher als Geheimnisse und halten Sie sie aus Screenshots und Chatverläufen heraus.

Was On Demand wirklich verspricht

On Demand kann eine Verbindung unter von Apple definierten Bedingungen aufbauen, und das überwachte Always-On-Modell hat ein strengeres Verhalten, das ein privates Gerät nicht erhält. Von einer Auto-Verbinden-Bezeichnung einer Verbraucher-App sollte man nicht annehmen, dass sie eines von beidem bietet. Die praktischen Fragen sind, was geschieht, bevor der Tunnel verfügbar ist, was nach einem manuellen Trennen geschieht und was beim Neustart des Telefons geschieht. Automatisches Wiederverbinden und das Blockieren von Datenverkehr außerhalb des Tunnels sind getrennte Versprechen.

Die Abdeckung ist eine dritte Frage: Die Konfiguration kann den gesamten Internetverkehr, eine Reihe privater Ziele oder nur verwaltete Apps tragen.

Testen Sie Übergaben und Widerruf

Schließen Sie zuerst die Anmeldung am Wi-Fi-Portal über die normale iOS-Aufforderung ab, weil ein Captive Portal den Tunnel nicht aufbauen lässt. Testen Sie dann die Übergänge, die Sie tatsächlich erleben: Wi-Fi zu Mobilfunk, Mobilfunk zurück zu Wi-Fi und Bildschirmsperre bei ruhender Verbindung. Notieren Sie, ob sich der Tunnel erholt und ob sich die App mit ihm erholt. Ein Protokollname garantiert kein unterbrechungsfreies Gespräch über eine Übergabe hinweg.

Eine gespeicherte Region, ein erlaubter Gerätestandort und eine fortlaufende Kontoanmeldung sind keine Messungen des öffentlichen Ausgangs. Testen Sie die vorgesehene Anwendung und beide Adressfamilien, wo relevant, mit einer Prüfung, die berichtet, was tatsächlich geschehen ist.

Bestätigen Sie bei einem verlorenen Telefon die Quelle des Profils und den Widerrufsprozess. Das Löschen einer lokalen App entfernt nicht unbedingt ihre entfernte Autorisierung.