VPN-aplikaĵo aŭ enkonstruita IKEv2 en iPhone: kiel elekti
iPhone-VPN-aplikaĵo kaj la enkonstruita IKEv2-kliento solvas malsamajn problemojn. Unue komparu protokolan subtenon, aŭtentigon, aparatan kontrolon kaj reakiron.
Pasintan semajnon kolego etendis al mi sian iPhone kun du VPN-enscribaĵoj en Agordoj: unu lasita de provizanta aplikaĵo, la alia el IKEv2-profilo algluita el subtena paĝo. Ili ne estas konkurantaj versioj de la sama afero. Provizanta aplikaĵo estas ujo, kiu povas kunporti sian propran tunel-kodon, dum la enkonstruita kliento de Apple estas IKEv2-kliento, agordita permane aŭ per profilo. Protokolo, traktado de akreditaĵoj, aparata kontrolo kaj reakiro decidas la elekton.
La aplikaĵo kaj la enkonstruita kliento staras ĉe malsamaj tavoloj
La enkonstruita VPN-kliento de Apple estas praktike IKEv2-kliento. La permana formularo ankoraŭ listigas la malaktualiĝintan L2TP super IPsec kaj la opciojn Cisco IPsec, sed mankas kampo por provizanta transporto kaj loko por alglui OpenVPN- aŭ WireGuard-agordon. Vi aŭ plenigas formularon ĉe Agordoj > Ĝeneralaj > VPN & Aparata administrado, aŭ importas profilon kun VPN-ŝarĝo; la surfaco estas servila adreso, du identecoj, aŭtentiga metodo kaj laŭbezona reguloj.
Provizanta aplikaĵo laboras unu tavolon pli alte. Ĝi liveras Network Extension-pakettunelan provizanton, do la protokola kodo kaj la enkursiga logiko loĝas en la aplikaĵo kaj iOS nur pasigas pakaĵojn. Kelkaj aplikaĵoj efektivigas WireGuard aŭ OpenVPN, aliaj propran kaŝitan transporton, kaj malmultaj nur instalas IKEv2-profilon kaj stiras la enkonstruitan klienton malantaŭ pli bela ekrano. Pro tiu lasta grupo, la elekto aplikaĵo kontraŭ profilo foje estas falsa.
La sekvo estas praktika: .ovpn aŭ WireGuard-dosiero ne anstataŭas tiujn kampojn, ĉar la manpremo estas alia protokolo.
Legu la ŝarĝon antaŭ ol kompari funkciojn
Kiam la profilo estas IKEv2, la ŝlosiloj de la ŝarĝo klarigas pli da paneoj ol iu ajn funkcia komparo. La referenco pri IKEv2-agordoj de Apple dokumentas ĉiun ŝlosilon; mallongigita ŝarĝo aspektas tiel:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Tri kampoj portas la plej grandan parton de la diagnoza pezo. RemoteIdentifier estas la nomo, kiun la kliento atendas de la servilo, do pordego malantaŭ NAT aŭ ŝarĝbalancilo, kies atestilo nomas la naĝejon anstataŭ la adreson, malsukcesas kvankam la adreso estas ĝusta. LocalIdentifier estas la identeco, kiun la servilo opinias vi estas, kaj kun atestila aŭtentigo ĝi devas kongrui kun la identeco ligita al via konto. ServerCertificateIssuerCommonName fiksas la eldonantan CA, do profilo povas malsukcesi en la tago, kiam la atestilo estas reeldonita, sen ke iu ajn erarmesaĝo menciu atestilojn.
Se AuthenticationMethod egalas SharedSecret, la servilo faras EAP-uzantan aŭtentigon kaj la sekreto, kiun vi ricevis, estas fakte konta akreditaĵo. Tio gravas, kiam provizanto sendas du dokumentojn, unu por uzantnomo kaj pasvorto kaj unu por atestilo, kaj nur unu kongruas kun tio, kion vi importis.
Kion la aplikaĵo povas kaj la enkonstruita kliento ne
La protokola elekto estas la evidenta avantaĝo. Se via servilo parolas WireGuard aŭ OpenVPN, aplikaĵo estas la sola iOS-kliento, kiu povas uzi ĝin, kaj redakti la enkonstruitan formularon ne intertraktos ĝin. Aplikaĵo ankaŭ povas efektivigi dividitan tunelon laŭ celo aŭ aplikaĵo, propran DNS-traktadon, blokadon laŭ stilo de kill switch, servilan elekton kaj rekonekton adaptitan al sia propra reto.
La prezo estas programaro, kiun vi ne reviziis, funkcianta kun la rajtoj de reta etendaĵo. La kvalito varias pli, ol la butikaj kartoj sugestas: unu aplikaĵo rekonektas pure, dum alia likas dum kelkaj sekundoj post retŝanĝo, kaj kill switch ene de la aplikaĵo estas funkcio de tiu aplikaĵo, ne de iOS. Sur administrita aparato, unue kontrolu la aprobitan liston.
Kion la enkonstruita IKEv2-profilo faras ĝuste
Malmultaj moviĝantaj partoj estas la tuta argumento. La IKEv2-kliento kaj ĝia IPsec-stako venas kun la operaciumo, do ne estas etendaĵo, kiu povas kraŝi, nek procezo por ĉiu aplikaĵo tenenda viva, nek triaparta ĝisdatiga ciklo inter vi kaj funkcianta tunelo. Profilo ankaŭ povas esti ŝlosita: sur gvatata aparato la uzanto ne povas forigi tion, kion instalis la administrado, kaj Always On VPN, kiu rekonektiĝas en ajna reto sen uzanta ŝaltilo, ekzistas nur en tiu gvatata, profile administrata formo.
Kion la enkonstruita vojo ne donas, estas fleksebleco. Ne ekzistas VPN por unuopa aplikaĵo sen administritaj aplikaĵoj, nek kill switch por la uzanto, nek transporto, kiu en reto blokanta IPsec aspektus kiel HTTPS. En hotelaj retoj, kiuj forĵetas UDP 500 kaj 4500, la enkonstruita IKEv2 havas neniun rezervan vojon.
Decida tabelo, kiu solvas la plej multajn kazojn
Praktike la protokola demando decidas la plej multajn kazojn antaŭ ol funkcioj gravas.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Du vicoj meritas duan rigardon. Postulo por unuopa aplikaĵo sur persona telefono estas la kazo, kiun homoj mislegas: la agordo ekzistas en iOS sed estas stirata de la administrado, do neadministrita aparato ne proponos ĝin. Blokita reto ne estas kialo malfidi IKEv2; ĝi estas la kialo, kial ekzistas la aplikaĵo de la provizanto.
Kontrolu la elekton per unu provo
Provu la paneo-manierojn, ne la konektan butonon. Konektiĝu unufoje, konfirmu, ke aperas la VPN-indikilo, poste malfermu paĝon, kiu resendas vian publikan adreson, kaj komparu ĝin kun la antaŭa. Transiru de Wi-Fi al poŝtelefonaj datumoj sen tuŝi la VPN kaj observu rekonekton, poste pasigu la telefonon tra aviadila reĝimo. Restartu kaj vidu, ĉu la tunelo revenas mem: profilo kun OnDemandEnabled devus, dum multaj aplikaĵoj devas esti malfermitaj unue.
Kiam ĝi ne revenas, dividu la paneon laŭ tio, ĉu tunelo entute ekzistas. Neniu VPN-indikilo signifas, ke la tunelo neniam leviĝis: aŭ la manpremo malsukcesis ĉe RemoteIdentifier, la fiksita CA aŭ akreditaĵo, aŭ la konekto neniam estis provita ĉar la laŭbezona regulo ne kongruis kaj neniu aplikaĵo startigis ĝin. Indikilo kun malsukcesanta trafiko signifas enkursigon, DNS aŭ servilan politikon, kaj reinstali la klienton tuŝas neniun el tiuj.
Mallonga listo, por ke la aparato restu klarigebla al la sekva persono:
- unu VPN-enscribaĵo, ne du;
- la profilo aŭ aplikaĵo nomita laŭ la servilo, al kiu ĝi konektiĝas;
- la identecaj valoroj skribitaj tie, kie vi povas trovi ilin.
Komencu per la protokola vico en la tabelo, kaj haltu tie, se ĝi respondas la demandon.