VPN-sovellus vai sisäänrakennettu IKEv2 iPhonessa: miten valita
iPhone-VPN-sovellus ja sisäänrakennettu IKEv2-asiakas ratkaisevat eri ongelmia. Vertaa ensin protokollatukea, todennusta, laitteen hallintaa ja palautumista.
Viime viikolla kollega ojensi iPhonensa minulle: Asetuksissa oli kaksi VPN-merkintää, toinen palveluntarjoajan sovelluksen jättämä ja toinen tukisivulta liitetystä IKEv2-profiilista. Ne eivät ole saman asian kilpailevia versioita. Palveluntarjoajan sovellus on säiliö, joka voi tuoda mukanaan oman tunnelikoodinsa, kun taas Applen sisäänrakennettu asiakas on IKEv2-asiakas, joka määritetään käsin tai profiililla. Protokolla, tunnistetietojen käsittely, laitteen hallinta ja palautuminen ratkaisevat valinnan.
Sovellus ja natiivi asiakas ovat eri kerroksissa
Applen sisäänrakennettu VPN-asiakas on käytännössä IKEv2-asiakas. Manuaalinen lomake luettelee edelleen vanhentuneen L2TP IPsecin päällä ja Cisco IPsec -vaihtoehdot, mutta palveluntarjoajan kuljetukselle ei ole kenttää eikä OpenVPN- tai WireGuard-määritystä voi liittää mihinkään. Joko täytät lomakkeen kohdassa Asetukset > Yleiset > VPN & Laitteiden hallinta tai tuot profiilin, jossa on VPN-hyötykuorma; pinta on palvelimen osoite, kaksi identiteettiä, todennusmenetelmä ja valinnaiset on demand -säännöt.
Palveluntarjoajan sovellus toimii kerrosta ylempänä. Se toimittaa Network Extension -pakettitunnelin tarjoajan, joten protokollakoodi ja reitityslogiikka ovat sovelluksessa ja iOS vain välittää paketteja. Jotkin sovellukset toteuttavat WireGuardin tai OpenVPN:n, toiset oman hämärretyn kuljetuksensa, ja harvat asentavat vain IKEv2-profiilin ja ohjaavat natiivia asiakasta hienomman näytön takaa. Viimeinen ryhmä on syy siihen, miksi sovellus vastaan profiili on joskus väärä valinta.
Seuraus on käytännöllinen: .ovpn- tai WireGuard-tiedosto ei korvaa näitä kenttiä, koska kättely on eri protokolla.
Lue hyötykuorma ennen kuin vertaat ominaisuuksia
Kun profiili on IKEv2, hyötykuorman avaimet selittävät useampia vikoja kuin mikään ominaisuusvertailu. Applen IKEv2-asetusten viite dokumentoi jokaisen avaimen; lyhennetty hyötykuorma näyttää tältä:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Kolme kenttää kantaa suurimman osan diagnostisesta painosta. RemoteIdentifier on nimi, jonka asiakas odottaa palvelimen esittävän, joten NATin takana oleva yhdyskäytävä tai kuormantasaaja, jonka sertifikaatti nimeää poolin osoitteen sijaan, epäonnistuu vaikka osoite olisi oikein. LocalIdentifier on identiteetti, joksi palvelin luulee sinua, ja sertifikaattitodennuksessa sen on vastattava tiliisi liitettyä identiteettiä. ServerCertificateIssuerCommonName kiinnittää myöntävän CA:n, joten profiili voi epäonnistua sinä päivänä, kun sertifikaatti uusitaan, ilman että mikään virheilmoitus mainitsee sertifikaatteja.
Jos AuthenticationMethod on SharedSecret, palvelin tekee EAP-käyttäjätodennusta ja saamasi salaisuus on itse asiassa tilin tunnistetieto. Sillä on väliä, kun palveluntarjoaja lähettää kaksi asiakirjaa, yhden käyttäjänimeä ja salasanaa varten ja toisen sertifikaattia varten, ja vain toinen vastaa tuotua.
Mikä sovellus voi tehdä ja natiivi asiakas ei
Protokollan valinta on ilmeinen etu. Jos palvelimesi puhuu WireGuardia tai OpenVPN:tä, sovellus on ainoa iOS-asiakas, joka voi käyttää sitä, eikä natiivin lomakkeen muokkaaminen neuvottele sitä. Sovellus voi myös toteuttaa jaetun tunnelin kohteen tai sovelluksen mukaan, oman DNS-käsittelynsä, kill switch -tyylisen eston, palvelimen valinnan ja omaan verkkoonsa sovitetun uudelleenyhdistämisen.
Hinta on ohjelmisto, jota et ole auditoinut ja joka toimii verkkolaajennuksen oikeuksin. Laatu vaihtelee enemmän kuin kauppasivut antavat ymmärtää: yksi sovellus yhdistää siististi, kun taas toinen vuotaa muutaman sekunnin ajan verkon vaihtumisen jälkeen, ja sovelluksen sisäinen kill switch on kyseisen sovelluksen ominaisuus, ei iOS:n. Hallitulla laitteella tarkista ensin hyväksytty luettelo.
Mikä natiivi IKEv2-profiili tekee oikein
Vähemmän liikkuvia osia on koko perustelu. IKEv2-asiakas ja sen IPsec-pino tulevat käyttöjärjestelmän mukana, joten ei ole laajennusta, joka voisi kaatua, ei sovelluskohtaista prosessia, jota pitäisi pitää elossa, eikä kolmannen osapuolen päivityssykliä sinun ja toimivan tunnelin välissä. Profiili voidaan myös lukita: valvotulla laitteella käyttäjä ei voi poistaa sitä, minkä hallinta asensi, ja Always On VPN, joka yhdistää uudelleen missä tahansa verkossa ilman käyttäjän kytkintä, on olemassa vain siinä valvotussa, profiilihallitussa muodossa.
Sitä natiivi polku ei anna, on joustavuus. Ei sovelluskohtaista VPN:ää ilman hallittuja sovelluksia, ei käyttäjän kill switchiä eikä kuljetusta, joka näyttäisi HTTPS:ltä IPsecin estävässä verkossa. Hotelliverkoissa, jotka pudottavat UDP 500 ja 4500, natiivilla IKEv2:lla ei ole varareittiä.
Päätöstaulukko, joka ratkaisee useimmat tapaukset
Käytännössä protokollakysymys ratkaisee useimmat tapaukset ennen kuin ominaisuudet merkitsevät.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Kaksi riviä ansaitsee toisen katseen. Sovelluskohtainen vaatimus henkilökohtaisessa puhelimessa on tapaus, jonka ihmiset lukevat väärin: asetus on olemassa iOS:ssä, mutta hallinta ohjaa sitä, joten hallitsematon laite ei tarjoa sitä. Estetty verkko ei ole syy epäluottaa IKEv2:een; se on syy siihen, miksi palveluntarjoajan sovellus on olemassa.
Varmista valinta yhdellä testiajolla
Testaa vikatilat, älä yhdistä-painiketta. Yhdistä kerran, varmista että VPN-ilmaisin ilmestyy, avaa sitten sivu, joka palauttaa julkisen osoitteesi, ja vertaa sitä edelliseen. Vaihda Wi-Fistä mobiilidataan koskematta VPN:ään ja seuraa uudelleenyhdistämistä, vie puhelin sitten lentotilan läpi. Käynnistä uudelleen ja katso palaako tunneli itsestään: profiili, jossa on OnDemandEnabled, palaa, kun taas monet sovellukset on avattava ensin.
Kun se ei palaa, jaa vika sen mukaan, onko tunnelia ollenkaan. Ei VPN-ilmaisinta tarkoittaa, että tunneli ei koskaan noussut: joko kättely epäonnistui RemoteIdentifier-arvossa, kiinnitetyssä CA:ssa tai tunnistetiedossa, tai yhteyttä ei koskaan yritetty, koska on demand -sääntö ei täsmännyt eikä mikään sovellus käynnistänyt sitä. Ilmaisin, jonka liikenne epäonnistuu, tarkoittaa reititystä, DNS:ää tai palvelinpuolen käytäntöä, eikä asiakkaan uudelleenasennus kosketa niistä mitään.
Lyhyt luettelo, jotta laite on selitettävissä seuraavalle henkilölle:
- yksi VPN-merkintä, ei kahta;
- profiili tai sovellus nimetty sen palvelimen mukaan, johon se yhdistää;
- identiteettiarvot kirjoitettu sinne, mistä löydät ne.
Aloita taulukon protokollarivistä ja lopeta siihen, jos se vastaa kysymykseen.