Henkilökohtainen VPN vai pakettitunneli: kaksi iPhone-VPN-mallia
Toinen malli määrittää iOS:n sisäänrakennetun IPsecin tai IKEv2:n; toinen toimittaa tarjoajan, joka toteuttaa oman protokollansa. Tuotteen nimi ei kerro, kumman sait.
Kaksi iPhone-sovellusta voivat kumpikin lisätä VPN-merkinnän Asetuksiin, kumpikin kutsua itseään VPN-asiakkaaksi ja jakaa lähes mitään toteutusta. Apple kutsuu yhtä näistä integraatioista Henkilökohtaiseksi VPN:ksi, ja juuri se nimi aiheuttaa suurimman osan sekaannuksesta. Henkilökohtainen VPN on API, jolla luodaan ja hallitaan kokoonpanoja, jotka käyttävät sisäänrakennettua IPsec- tai IKEv2-toteutusta. Pakettitunnelitarjoaja on toinen malli: sovellus toimittaa laajennuksen, joka toteuttaa oman protokollansa asiakaspuolen. Kaikki, mitä ihmiset myöhemmin päättelevät merkinnästä, salakirjoituksista omistajuuteen ja siihen, onko puhelinta hallittava, on päätelmä eikä väite.
Kuka toteuttaa tunnelin
Jako ratkaisee, kuka on vastuussa, kun jotain hajoaa. Sisäänrakennetun IPsecin tai IKEv2:n kanssa iOS omistaa tunnelin tilakoneen ja sovellus omistaa kokoonpanon ja painikkeet. Tarjoajan kanssa sovellus omistaa molemmat, joten protokollavirheestä tulee sovelluspäivitys käyttöjärjestelmäpäivityksen sijaan.
Vertailu on lyhyt, jos kysyt, kuka toteuttaa protokollan.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Henkilökohtaisen VPN:n dokumentaatio mainitsee myös nimenomaisen käyttäjän valtuutuskyselyn, kun sovellus tallentaa kokoonpanon ensimmäisen kerran, mikä kuuluu tuohon malliin eikä VPN-sovelluksiin yleisesti.
Kaksi merkintää koskevaa väitettä, jotka kannattaa hylätä
Ensimmäinen on, että Henkilökohtainen VPN valitsee salakirjoituksen. Ei valitse; neuvoteltu kokonaisuus tulee protokollasta ja sen kokoonpanosta, eikä Henkilökohtainen-merkintä kerro mitään siitä, minkä saat. Toinen on, että Henkilökohtainen VPN tarkoittaa välityspalvelinta tai rajoitettua tunnelia. Se tarkoittaa sisäänrakennettua IPsecia tai IKEv2:ta, joka on täysi tunneli aina, kun reitit niin sanovat.
Sovelluksen olemassaolo ei siis ole todiste johtoprotokollasta. WireGuardia tai OpenVPN:ta puhuva kolmannen osapuolen asiakas on rakenteeltaan tarjoajasovellus, koska iOS ei toteuta näitä protokollia natiivisti.
Miksi yrityskielenkäyttö johtaa harhaan
Applen dokumentaatio luokittelee NETunnelProviderManager-kokoonpanot tavallisiksi yritys-VPN-kokoonpanoiksi. Tämä sanamuoto on API-kategoria, ja se työntää ihmisiä kahteen vastakkaiseen virheeseen: olettamaan, ettei kuluttajasovellus voi käyttää tarjoajamallia, ja olettamaan, että puhelimen on oltava valvonnan alainen sitä varten. Kumpikaan ei seuraa. Kuluttajasovellukset toimittavat tarjoajia rutiininomaisesti, ja valvonta on erillinen kysymys siitä, kuka saa panna käytäntöjä täytäntöön.
Hallinnan omistajuus on se neljäs kysymys, ja se on riippumaton molemmista malleista. Organisaation asentama kokoonpano kantaa oman identiteettinsä, liikenteen laajuutensa ja elinkaarensa säännöt, ja ne kulkevat profiilin mukana eivätkä minkä tahansa asennetun sovelluksen mukana. Lue ne integraatiomallin rinnalla, koska hallittu sisäänrakennettu profiili ja hallitsematon tarjoajaprofiili voivat olla samassa puhelimessa yhtä aikaa.
Tarkista todiste kuvakaappauksen sijaan
Kuvakaappaukset ovat huonoin saatavilla oleva todiste, koska Asetusten ryhmittely muuttuu versioiden välillä. Hallittu profiili nimeää oman hyötykuormatyyppinsä: sisäänrakennettu profiili ilmoittaa VPN-tyypin, kuten IKEv2 tai IPsec, kun taas tarjoajaprofiili kantaa alatyypin, joka nimeää tarjoajan nipun tunnisteen. Se on tarkistettavissa edessäsi olevalla laitteella, ja se kestää seuraavan uudistuksen.
Itse sovelluksen osalta käytetty luokka vastaa samaan kysymykseen toiselta puolelta: kokoonpano-oliot Henkilökohtaisen VPN:n API:sta tai tarjoajahallinta ja sen laajennus.
Valitse sitten sen mukaan, mitä operaattori todella toimittaa. Jos yhteensopiva natiivi profiili on olemassa, sisäänrakennetulla polulla on vähemmän liikkuvia osia ja yksi asia vähemmän päivitettävänä. Jos palvelu tarvitsee protokollan, jota iOS ei toimita, tarjoajasovellus on ainoa vaihtoehto ja sen julkaisutahti tulee osaksi riskiäsi.
Säilytä tietue yhteyden mukana
Liitä todennus ja resurssikäytäntö yhteyden tietueeseen eikä sovellukseen, jotta uudelleenasennus ei vie valtuutusmallia mukanaan. Tämä tietue on myös se, mitä tukitinsinööri tarvitsee, kun tunneli nousee eikä mikään muu toimi.
Kysymys, joka lopussa kannattaa esittää, ei ole se, kumpi malli on parempi. Vaan se, mitä mallia operaattorisi tukee, ja kumpaa voit virheenjäljittää kahdelta yöllä niillä työkaluilla, jotka sinulla todella on.