Persona VPN aŭ paketa tunelo: du VPN-modeloj por iPhone
Unu modelo agordas la enkonstruitan IPsec aŭ IKEv2 de iOS; la alia liveras provizanton, kiu realigas sian propran protokolon. La produkta nomo ne diras, kiun vi ricevis.
Du iPhone-aplikoj povas ambaŭ meti VPN-eron en Agordoj, ambaŭ nomi sin VPN-klientoj kaj preskaŭ ne dividi ian efektivigon. Apple nomas unu el tiuj integraĵoj Persona VPN, kaj tiu nomo kaŭzas la plej grandan parton de la konfuzo. Persona VPN estas API por krei kaj administri agordojn, kiuj uzas la enkonstruitan efektivigon de IPsec aŭ IKEv2. Paketa tunela provizanto estas la alia modelo: la aplikaĵo liveras kromaĵon, kiu efektivigas la klientan flankon de sia propra protokolo. Ĉio, kion homoj poste konjektas el la etikedo, de ĉifroj ĝis posedo ĝis ĉu la telefono devas esti administrata, estas konjekto, ne aserto.
Kiu efektivigas la tunelon
La divido decidas, kiu respondecas, kiam io paneas. Kun enkonstruita IPsec aŭ IKEv2, iOS posedas la statmaŝinon de la tunelo kaj la aplikaĵo posedas la agordon kaj la butonojn. Kun provizanto, la aplikaĵo posedas ambaŭ, do protokola cimo fariĝas aplikaĵa ĝisdatigo anstataŭ operaciuma ĝisdatigo.
La komparo estas mallonga, se vi demandas, kiu efektivigas la protokolon.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
La dokumentaro de Persona VPN ankaŭ mencias la eksplicitan petskribon por uzanta rajtigo, kiam aplikaĵo unuafoje konservas agordon, kio apartenas al tiu modelo kaj ne al VPN-aplikaĵoj ĝenerale.
Du asertoj pri la etikedo, kiujn indas forlasi
La unua estas, ke Persona VPN elektas ĉifron. Ĝi ne faras tion; la intertraktita aro venas de la protokolo kaj ĝia agordo, kaj etikedo Persona diras nenion pri tio, kiun vi ricevos. La dua estas, ke Persona VPN implicas prokuron aŭ limigitan tunelon. Ĝi implicas enkonstruitan IPsec aŭ IKEv2, kio estas plena tunelo kiam ajn la itineroj tion diras.
La ĉeesto de aplikaĵo do ne estas pruvo pri la drata protokolo. Triaparta kliento parolema pri WireGuard aŭ OpenVPN estas laŭkonstrua provizanta aplikaĵo, ĉar iOS ne efektivigas tiujn protokolojn denaske.
Kial la entreprena vortumo misgvidas
La dokumentaro de Apple klasifikas agordojn de NETunnelProviderManager kiel ordinarajn entreprenajn VPN-agordojn. Tiu vortumo estas API-kategorio, kaj ĝi puŝas homojn al du kontraŭaj eraroj: supozi, ke konsumanta aplikaĵo ne povas uzi la provizantan modelon, kaj supozi, ke la telefono devas esti sub kontrolo por tio. Neniu sekvas. Konsumantaj aplikaĵoj rutine liveradas provizantojn, kaj kontrolo estas aparta demando pri tio, kiu rajtas apliki politikon.
Administra posedo estas tiu kvara demando, kaj ĝi sendependas de ambaŭ modeloj. Agordo instalita de organizo portas sian propran identecon, trafikan amplekson kaj vivciklajn regulojn, kaj tiuj vojaĝas kun la profilo kaj ne kun ĉiu ajn instalita aplikaĵo. Legu ilin kune kun la integra modelo, ĉar administrata enkonstruita profilo kaj neadministrata provizanta profilo povas samtempe sidi sur unu telefono.
Kontrolu la pruvon anstataŭ la ekrankopion
Ekrankopioj estas la plej malbona disponebla pruvo, ĉar la grupigo en Agordoj ŝanĝiĝas inter eldonoj. Administrata profilo nomas sian propran utilŝarĝan tipon: enkonstruita profilo deklaras VPN-tipon kiel IKEv2 aŭ IPsec, dum provizanta profilo portas subtipon nomantan la pakadan identigilon de la provizanto. Tio estas kontrolebla sur la aparato antaŭ vi, kaj ĝi postvivas la sekvan redesignon.
Pri la aplikaĵo mem, la uzata klaso respondas la saman demandon de la alia flanko: agordaj objektoj el la API de Persona VPN, aŭ provizanta administranto kaj ĝia kromaĵo.
Poste elektu laŭ tio, kion la funkciigisto efektive provizas. Kie ekzistas kongrua denaska profilo, la enkonstruita vojo havas malpli da movaj partoj kaj unu aferon malpli por ĝisdatigi. Kie la servo bezonas protokolon, kiun iOS ne liveras, provizanta aplikaĵo estas la sola opcio kaj ĝia eldonritmo fariĝas parto de via risko.
Konservu la rikordon kun la konekto
Alligu aŭtentikigon kaj resursan politikon al la konekta rikordo anstataŭ al la aplikaĵo, por ke reinstalo ne forportu la rajtigan modelon. Tiu rikordo ankaŭ estas tio, kion subtena inĝeniero bezonas, kiam la tunelo ekfunkcias kaj nenio alia funkcias.
La demando inda je la fino ne estas, kiu modelo pli bonas. Ĝi estas, kiun modelon via funkciigisto subtenas, kaj kiun vi povas sencimigi je la dua matene per la iloj, kiujn vi efektive havas.