Isiklik VPN või pakettunnel: kaks iPhone'i VPN-mudelit
Üks mudel seab üles iOS-i sisseehitatud IPsec-i või IKEv2; teine tarnib pakkuja, mis juurutab oma protokolli. Tootenimi ei ütle, kumma said.
Kaks iPhone'i rakendust võivad mõlemad lisada Seadetesse VPN-kirje, mõlemad nimetada end VPN-klientideks ja jagada peaaegu mitte mingit juurutust. Apple nimetab ühte neist integratsioonidest Isiklikuks VPN-iks ja just see nimi tekitab suurema osa segadusest. Isiklik VPN on API konfiguratsioonide loomiseks ja haldamiseks, mis kasutavad sisseehitatud IPsec-i või IKEv2 juurutust. Pakettunneli pakkuja on teine mudel: rakendus tarnib laienduse, mis juurutab oma protokolli kliendipoolt. Kõik, mida inimesed hiljem sildist järeldavad, šifritest omandini ja selleni, kas telefoni tuleb hallata, on järeldus, mitte väide.
Kes tunneli juurutab
See jaotus otsustab, kes vastutab, kui midagi katki läheb. Sisseehitatud IPsec-i või IKEv2 puhul kuulub tunnel olekumasin iOS-ile ja rakendus omab konfiguratsiooni ja nuppe. Pakkuja puhul omab rakendus mõlemat, nii et protokolli viga muutub rakenduse uuenduseks operatsioonisüsteemi uuenduse asemel.
Võrdlus on lühike, kui küsida, kes protokolli juurutab.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Isikliku VPN-i dokumentatsioon märgib ka selgesõnalist kasutaja autoriseerimise küsimust, kui rakendus esimest korda konfiguratsiooni salvestab, mis kuulub selle mudeli juurde, mitte VPN-rakendustele üldiselt.
Kaks väidet sildi kohta, millest tasuks loobuda
Esimene on, et Isiklik VPN valib šifri. Ei vali; läbiräägitud komplekt tuleb protokollist ja selle konfiguratsioonist ning silt Isiklik ei ütle midagi selle kohta, millise saad. Teine on, et Isiklik VPN tähendab puhverserverit või piiratud tunnelit. See tähendab sisseehitatud IPsec-i või IKEv2, mis on täis tunnel alati, kui marsruudid seda ütlevad.
Rakenduse olemasolu ei ole seega tõend juhtmeprotokolli kohta. Kolmanda osapoole klient, mis räägib WireGuard'i või OpenVPN-i, on konstruktsioonilt pakkuja rakendus, sest iOS ei juuruta neid protokolle natiivselt.
Miks ettevõtte sõnastus eksitab
Apple'i dokumentatsioon liigitab NETunnelProviderManageri konfiguratsioonid tavalisteks ettevõtte VPN-konfiguratsioonideks. See sõnastus on API-kategooria ja see tõukab inimesi kahe vastandliku vea poole: eeldus, et tarbijarakendus ei saa pakkuja mudelit kasutada, ja eeldus, et telefon peab selleks järelevalve all olema. Kumbki ei tulene. Tarbijarakendused tarnivad pakkujaid rutiinselt ning järelevalve on eraldi küsimus sellest, kes tohib poliitikat rakendada.
Haldusomand on see neljas küsimus ja see on mõlemast mudelist sõltumatu. Organisatsiooni paigaldatud konfiguratsioon kannab oma identiteeti, liiklusulatust ja elutsükli reegleid ning need liiguvad profiiliga, mitte selle rakendusega, mis juhtub paigaldatud olema. Lugege neid koos integratsioonimudeliga, sest hallatud sisseehitatud profiil ja haldamata pakkujaprofiil võivad olla samas telefonis korraga.
Kontrollige tõendit, mitte ekraanipilti
Ekraanipildid on halvim saadaolev tõend, sest Seadete rühmitamine muutub väljaannete vahel. Hallatud profiil nimetab oma kasuliku koormuse tüübi: sisseehitatud profiil deklareerib VPN-tüübi nagu IKEv2 või IPsec, samas kui pakkujaprofiil kannab alatüüpi, mis nimetab pakkuja komplekti identifikaatorit. Seda saab kontrollida teie ees olevas seadmes ja see elab üle järgmise disaini.
Rakenduse enda puhul vastab kasutatav klass samale küsimusele teiselt poolt: konfiguratsiooniobjektid Isikliku VPN-i API-st või pakkuja haldur ja selle laiendus.
Seejärel valige selle järgi, mida operaator tegelikult pakub. Kui ühilduv natiivne profiil on olemas, on sisseehitatud teel vähem liikuvaid osi ja üks asi vähem uuendada. Kui teenus vajab protokolli, mida iOS ei tarni, on pakkuja rakendus ainus valik ja selle väljaannete rütm muutub teie riski osaks.
Hoidke kirje koos ühendusega
Kinnitage autentimine ja ressursipoliitika ühenduse kirje, mitte rakenduse külge, et uuesti paigaldamine ei võtaks autoriseerimismudelit kaasa. See kirje on ka see, mida tugiinsener vajab, kui tunnel tõuseb ja miski muu ei tööta.
Küsimus, mida lõpuks tasub küsida, ei ole see, milline mudel on parem. See on, millist mudelit teie operaator toetab ja millist saate kell kaks öösel siluda tööriistadega, mis teil tegelikult on.