VPN aplikazioa ala iPhoneko IKEv2 integratua: nola aukeratu
iPhoneerako VPN aplikazioak eta IKEv2 bezero integratuak arazo desberdinak konpontzen dituzte. Lehenik protokoloen euskarria, autentifikazioa, gailuaren kontrola eta berreskuratzea alderatu.
Joan den astean lankide batek bere iPhonea eman zidan Ezarpenetan bi VPN sarrera zituela: bat hornitzailearen aplikazioak utzia, bestea laguntza-orri batetik itsatsitako IKEv2 profiletik zetorrena. Ez dira gauza beraren bertsio lehiakideak. Hornitzailearen aplikazioa bere tunel-kodea eraman dezakeen edukiontzi bat da, eta Apple-ren bezero integratua IKEv2 bezero bat, eskuz edo profilez konfiguratua. Protokoloak, kredentzialen kudeaketak, gailuaren kontrolak eta berreskuratzeak erabakitzen dute hautua.
Aplikazioa eta jatorrizko bezeroa geruza desberdinetan daude
Apple-ren VPN bezero integratua praktikan IKEv2 bezero bat da. Eskuzko inprimakiak oraindik L2TP IPsec gainean eta Cisco IPsec aukerak zerrendatzen ditu, baina ez dago hornitzailearen garraiorako eremurik eta ez OpenVPN edo WireGuard konfigurazioa itsasteko tokirik. Edo Ezarpenak > Orokorra > VPN & Gailuaren kudeaketa atalean inprimakia betetzen duzu, edo VPN karga duen profila inportatzen duzu; azalera zerbitzariaren helbidea, bi identitate, autentifikazio-metodo bat eta hautazko eskabide-arauak dira.
Hornitzailearen aplikazioa geruza bat gorago aritzen da. Network Extension pakete-tunel hornitzailea ematen du, beraz protokolo-kodea eta bideratze-logika aplikazioan bizi dira eta iOSek paketeak soilik pasatzen ditu. Zenbait aplikaziok WireGuard edo OpenVPN inplementatzen dute, besteek beren garraio exkutua, eta gutxi batzuek IKEv2 profila soilik instalatzen dute eta bezero integratua pantaila ederrago baten atzetik gidatzen dute. Azken talde hori da aplikazioa ala profila hautua batzuetan faltsua izatearen arrazoia.
Ondorioa praktikoa da: .ovpn edo WireGuard fitxategiak ez ditu eremu horiek ordezten, eskuko helburua beste protokolo bat delako.
Irakurri karga funtzioak alderatu aurretik
Profila IKEv2 denean, kargaren gakoek edozein funtzio-alderaketak baino hutsegite gehiago azaltzen dituzte. Apple-ren IKEv2 ezarpenen erreferentziak gako bakoitza dokumentatzen du; karga laburtuak itxura hau du:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Hiru eremuk daramate pisu diagnostikoaren zatirik handiena. RemoteIdentifier bezeroak zerbitzaritik espero duen izena da, beraz NAT atzeko atea edo ziurtagiriak helbidearen ordez multzoa izendatzen duen karga-banatzailea helbidea zuzena izan arren huts egiten du. LocalIdentifier zerbitzariak zu zaretela uste duen identitatea da, eta ziurtagiri bidezko autentifikazioan zure kontuarekin lotutako identitatearekin bat etorri behar du. ServerCertificateIssuerCommonName jaulkitzaile CA ainguratzen du, beraz profilak huts egin dezake ziurtagiria berrargitaratzen den egunean, inolako errore-mezurik ziurtagiriak aipatu gabe.
AuthenticationMethod SharedSecret berdin bada, zerbitzariak EAP erabiltzaile-autentifikazioa egiten du eta jaso duzun sekretua kontu-kredentziala da benetan. Hori garrantzitsua da hornitzaileak bi dokumentu bidaltzen dituenean, bat erabiltzaile-izenerako eta pasahitzerako eta bestea ziurtagiri baterako, eta inportatu duzunarekin bat datorrena bakarra denean.
Aplikazioak zer egin dezakeen eta bezero integratuak ez
Protokoloaren hautua abantaila nabarmena da. Zure zerbitzariak WireGuard edo OpenVPN hitz egiten badu, aplikazioa da erabil dezakeen iOS bezero bakarra, eta inprimaki integratua aldatzeak ez du horren gainean negoziatuko. Aplikazioak helburu edo aplikazioaren araberako tunel zatitua, bere DNS kudeaketa, kill switch estiloko blokeoa, zerbitzari-hautua eta bere sarearen araberako berriro konexioa ere inplementa ditzake.
Prezioa auditatu ez duzun softwarea da, sare-hedapen baten pribilegioekin exekutatzen dena. Kalitatea dendako txartelek iradokitzen dutena baino gehiago aldatzen da: aplikazio bat garbi berrikonektatzen da eta beste bat segundo batzuetan isurtzen da sare-aldaketaren ondoren, eta aplikazioaren barruko kill switch aplikazio horren funtzioa da, ez iOS-rena. Kudeatutako gailu batean, begiratu lehenik onartutako zerrenda.
IKEv2 profil integratuak zer egiten duen ondo
Pieza mugikor gutxiago da argumentu osoa. IKEv2 bezeroa eta bere IPsec pila sistema eragilearekin datoz, beraz ez dago erori daitekeen hedapenik, ez dago aplikazio bakoitzeko prozesurik bizirik mantendu behar denik, eta ez dago hirugarren baten eguneraketa-ziklorik zu eta funtzionatzen duen tunel baten artean. Profila blokea daiteke: gainbegiratutako gailu batean erabiltzaileak ezin du kudeaketak instalatutakoa kendu, eta Always On VPN, erabiltzaile-etengailurik gabe edozein saretan berriro konektatzen dena, gainbegiratutako eta profilez kudeatutako forma horretan soilik existitzen da.
Bide integratuak ematen ez duena malgutasuna da. Ez dago aplikazio bakoitzeko VPNrik kudeatutako aplikaziorik gabe, ez dago erabiltzailearentzako kill switchik, eta ez dago IPsec blokeatzen duen sare batean HTTPS itxura duen garraiorik. UDP 500 eta 4500 baztertzen dituzten hotel-sareetan, IKEv2 integratuak ez du erreserba-biderik.
Kasurik gehienak konpontzen dituen erabaki-taulak
Praktikan protokoloaren galderak erabakitzen ditu kasurik gehienak funtzioak garrantzitsuak bihurtu aurretik.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Bi errenkadek bigarren begiratu bat merezi dute. Telefono pertsonal batean aplikazio bakoitzeko baldintza jendeak gaizki irakurtzen duen kasua da: ezarpena iOSen dago baina kudeaketak gidatzen du, beraz kudeatu gabeko gailu batek ez du eskainiko. Sare blokeatuak ez du IKEv2 ez fidatzeko arrazoirik; hori da hornitzailearen aplikazioa existitzeko arrazoia.
Egiaztatu hautua proba batekin
Probatu hutsegite-moduak, ez konektatzeko botoia. Konektatu behin, egiaztatu VPN adierazlea agertzen dela, gero ireki zure helbide publikoa itzultzen duen orria eta alderatu aurrekoarekin. Aldatu Wi-Fitik datu mugikorretara VPN ukitu gabe eta behatu berriro konexioa, gero pasarazi telefonoa hegazkin modutik. Berrabiarazi eta ikusi tunela bere kabuz itzultzen den: OnDemandEnabled duen profilak bai, baina aplikazio asko lehenengo ireki behar dira.
Itzultzen ez denean, banatu hutsegitea tunel bat dagoen ala ez kontuan hartuta. VPN adierazlerik ez egoteak tunela inoiz altxatu ez zela esan nahi du: edo eskuko helburua RemoteIdentifier, ainguratutako CA edo kredentzial batean huts egin zuen, edo konexioa inoiz saiatu ez zen eskabide-araua bat ez zetorrelako eta inolako aplikaziok hasi ez zuelako. Adierazlea trafiko hutsarekin bada, bideratzea, DNS edo zerbitzariaren aldeko politika da, eta bezeroa berriro instalatzeak ez dio horietako ezeri ukitzen.
Zerrenda labur bat gailua hurrengo pertsonarentzat ulergarri gera dadin:
- VPN sarrera bat, ez bi;
- profila edo aplikazioa konektatzen den zerbitzariaren izenarekin;
- identitate-balioak aurkituko dituzun tokian idatzita.
Hasi taulako protokolo-errenkadarekin, eta gelditu hor esaldiari erantzuten badio.