VPN-rakendus või sisseehitatud IKEv2 iPhone’is: kuidas valida
iPhone’i VPN-rakendus ja sisseehitatud IKEv2 klient lahendavad erinevaid probleeme. Võrrelge esmalt protokollitoidet, autentimist, seadme juhtimist ja taastamist.
Eelmisel nädalal ulatas kolleeg mulle oma iPhone’i, mille Seadetes oli kaks VPN-kannet: ühe jättis teenusepakkuja rakendus, teise pani tugilehelt kopeeritud IKEv2 profiil. Need ei ole sama asja konkureerivad versioonid. Teenusepakkuja rakendus on konteiner, mis võib kanda oma tunnelikoodi, samas kui Apple’i sisseehitatud klient on IKEv2 klient, mis on seadistatud käsitsi või profiiliga. Protokoll, mandaatide käsitlemine, seadme juhtimine ja taastamine määravad valiku.
Rakendus ja natiivne klient asuvad erinevatel kihtidel
Apple’i sisseehitatud VPN-klient on praktikas IKEv2 klient. Käsitsi vorm loetleb endiselt vananenud L2TP üle IPsec ja Cisco IPsec valikud, kuid teenusepakkuja transporti jaoks pole välja ega kohta, kuhu OpenVPN või WireGuard konfiguratsiooni kleepida. Te kas täidate vormi jaotises Seaded > Üldine > VPN & Seadmehaldus või impordite profiili, millel on VPN-i kandev osa; pind on serveri aadress, kaks identiteeti, autentimismeetod ja valikulised nõudmisel põhinevad reeglid.
Teenusepakkuja rakendus töötab ühe kihi võrra kõrgemal. See pakub Network Extensioni paketitunneli teenusepakkuja, nii et protokollikood ja marsruutimisloogika elavad rakenduses ning iOS annab ainult pakette edasi. Mõned rakendused rakendavad WireGuardi või OpenVPN-i, teised oma varjatud transporti, ja vähesed paigaldavad ainult IKEv2 profiili ning juhivad natiivset klienti ilusama ekraani taga. Just see viimane rühm teeb rakenduse ja profiili valiku mõnikord valeks.
Tagajärg on praktiline: .ovpn või WireGuard fail ei asenda neid välju, sest käepigistus on teine protokoll.
Lugege kandvat osa enne funktsioonide võrdlemist
Kui profiil on IKEv2, selgitavad kandva osa võtmed rohkem tõrkeid kui ükski funktsioonide võrdlus. Apple’i IKEv2 seadete viide dokumenteerib iga võtme; kärbitud kandev osa näeb välja selline:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Kolm välja kannavad suurema osa diagnostilisest raskusest. RemoteIdentifier on nimi, mida klient serverilt ootab, seega NAT-i taga olev lüüs või koormusjaotur, mille sertifikaat nimetab aadressi asemel kogumit, ebaõnnestub ka siis, kui aadress on õige. LocalIdentifier on identiteet, milleks server teid peab, ja sertifikaadiga autentimisel peab see vastama teie kontoga seotud identiteedile. ServerCertificateIssuerCommonName kinnitab väljaandva CA, seega profiil võib ebaõnnestuda sertifikaadi uuesti väljaandmise päeval, ilma et ükski veateade sertifikaate mainiks.
Kui AuthenticationMethod võrdub SharedSecret-ga, teeb server EAP kasutajaautentimist ja saadud saladus on tegelikult konto mandaat. See loeb siis, kui teenusepakkuja saadab kaks dokumenti, ühe kasutajanime ja parooli jaoks ja teise sertifikaadi jaoks, ning ainult üks vastab sellele, mille importisite.
Mida rakendus suudab ja natiivne klient mitte
Protokolli valik on ilmne eelis. Kui teie server räägib WireGuardi või OpenVPN-i, on rakendus ainus iOS klient, mis seda kasutada saab, ja natiivse vormi muutmine seda ei läbi. Rakendus võib rakendada ka sihtkoha või rakenduse kaupa jagatud tunnelit, oma DNS-käsitlust, kill switchi stiilis blokeerimist, serveri valikut ja oma võrguga kohandatud taasühendust.
Hind on tarkvara, mida te ei ole auditeerinud ja mis töötab võrgulaiendi õigustega. Kvaliteet varieerub rohkem, kui poe kaardid vihjavad: üks rakendus ühendub puhtalt uuesti, samas kui teine lekitab pärast võrguvahetust paar sekundit, ja rakendusesisene kill switch on selle rakenduse funktsioon, mitte iOS-i oma. Hallatavas seadmes kontrollige esmalt kinnitatud nimekirja.
Mida sisseehitatud IKEv2 profiil õigesti teeb
Vähem liikuvaid osi on kogu argument. IKEv2 klient ja selle IPsec virn tulevad operatsioonisüsteemiga, seega pole laiendit, mis võiks kokku kukkuda, pole rakendusepõhist protsessi, mida elus hoida, ja pole kolmanda osapoole värskendustsüklit teie ja töötava tunneli vahel. Profiili saab ka lukustada: järelevalvega seadmes ei saa kasutaja eemaldada seda, mille haldus paigaldas, ja Always On VPN, mis ühendub igas võrgus uuesti ilma kasutaja lülitita, on olemas ainult selles järelevalvega, profiiliga hallatud vormis.
Mida sisseehitatud tee ei anna, on paindlikkus. Pole rakendusepõhist VPN-i ilma hallatavate rakendusteta, pole kasutajale mõeldud kill switchi ja pole transporti, mis näeks IPsec-i blokeerivas võrgus välja nagu HTTPS. Hotellivõrkudes, mis viskavad UDP 500 ja 4500 kõrvale, pole sisseehitatud IKEv2-l varuteed.
Otsustustabel, mis lahendab enamiku juhtudest
Praktikas otsustab protokolli küsimus enamiku juhtudest enne, kui funktsioonid loevad.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Kaks rida väärivad teist pilku. Rakendusepõhine nõue isiklikus telefonis on juhtum, mille inimesed valesti loevad: säte on iOS-is olemas, kuid seda juhitakse haldusest, seega mittehallatav seade ei paku seda. Blokeeritud võrk ei ole põhjus IKEv2-t mitte usaldada; see on põhjus, miks teenusepakkuja rakendus olemas on.
Kinnitage valik ühe katsega
Katsetage tõrkeviise, mitte ühendamisnuppu. Ühenduge korra, kinnitage, et VPN-i indikaator ilmub, seejärel avage leht, mis tagastab teie avaliku aadressi, ja võrrelge seda eelmisega. Lülituge Wi-Filt mobiilsele andmele VPN-i puutumata ja jälgige taasühendust, seejärel viige telefon lennurežiimi kaudu. Taaskäivitage ja vaadake, kas tunnel tuleb ise tagasi: OnDemandEnabled-ga profiil peaks, samas kui paljusid rakendusi tuleb enne avada.
Kui see ei tule tagasi, jagage tõrge selle järgi, kas tunnel on üldse olemas. VPN-i indikaatori puudumine tähendab, et tunnel ei tõusnud kunagi: kas käepigistus ebaõnnestus RemoteIdentifier, kinnitatud CA või mandaadi juures, või ühendust ei proovitudki, sest nõudmisel põhinev reegel ei sobinud ja ükski rakendus ei käivitanud seda. Indikaator ebaõnnestuva liiklusega tähendab marsruutimist, DNS-i või serveripoolset poliitikat, ja kliendi uuesti paigaldamine ei puuduta neist ühtegi.
Lühike nimekiri, et seade oleks järgmisele inimesele selgitatav:
- üks VPN-kanne, mitte kaks;
- profiil või rakendus on nimetatud serveri järgi, millega see ühendub;
- identiteediväärtused on kirja pandud sinna, kust te need leiate.
Alustage tabeli protokollirealt ja peatuge seal, kui see vastab küsimusele.