Aip VPN nó IKEv2 ionsuite ar iPhone: conas a roghnú
Réitíonn aip VPN iPhone agus an cliant IKEv2 ionsuite fadhbanna éagsúla. Déan comparáid ar dtús idir tacaíocht prótacal, fíordheimhniú, rialú gléis agus aisghabháil.
An tseachtain seo caite shínigh comhghleacaí a iPhone chugam le dhá iontráil VPN sna Socruithe: ceann a d’fhág aip soláthraí, ceann eile ó phróifíl IKEv2 a greamaíodh ó leathanach tacaíochta. Ní leaganacha iomaíocha den rud céanna iad. Is coimeádán í aip soláthraí a fhéadann a chód tolláin féin a iompar, agus is cliant IKEv2 é cliant ionsuite Apple, cumraithe de láimh nó le próifíl. Is iad an prótacal, láimhseáil dintiúirí, rialú gléis agus aisghabháil a shocraíonn an rogha.
Tá an aip agus an cliant dúchais ar shraitheanna éagsúla
Is cliant IKEv2 é cliant VPN ionsuite Apple go praiticiúil. Liostaíonn an fhoirm láimhe fós an L2TP thar IPsec agus na roghanna Cisco IPsec atá as dáta, ach níl aon réimse iompair soláthraí ann agus níl aon áit le cumraíocht OpenVPN nó WireGuard a ghreamú. Líonann tú foirm i Socruithe > Ginearálta > VPN & Bainistíocht Gléis nó iompórtálann tú próifíl a bhfuil ualach VPN uirthi; is é an t-achar ná seoladh freastalaí, dhá chéannacht, modh fíordheimhnithe agus rialacha roghnacha ar éileamh.
Oibríonn aip soláthraí sraith amháin níos airde. Soláthraíonn sí soláthraí tolláin paicéad Network Extension, mar sin maireann cód an phrótacail agus loighic an ródaithe san aip agus ní dhéanann iOS ach paicéid a rith. Cuireann roinnt aipeanna WireGuard nó OpenVPN i bhfeidhm, cinn eile iompar ceilte dá gcuid féin, agus ní shuiteálann ach cúpla ceann próifíl IKEv2 agus tiomáineann siad an cliant dúchais taobh thiar de scáileán níos deise. Is é an grúpa deireanach seo an chúis go mbíonn aip i gcoinne próifíle ina rogha bhréige uaireanta.
Tá an iarmhairt praiticiúil: ní thagann comhad .ovpn nó WireGuard in ionad na réimsí sin, mar is prótacal eile é an crannchur láimhe.
Léigh an t-ualach sula gcuirfidh tú gnéithe i gcomparáid
Nuair is IKEv2 an phróifíl, míníonn eochracha an ualaigh níos mó teipeanna ná aon chomparáid gnéithe. Déanann tagairt socruithe IKEv2 Apple gach eochair a dhoiciméadú; breathnaíonn ualach giorraithe mar seo:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Iompraíonn trí réimse an chuid is mó den mheáchan diagnóiseach. Is é RemoteIdentifier an t-ainm a mbíonn an cliant ag súil leis ón bhfreastalaí, mar sin teipeann ar gheata taobh thiar de NAT nó ar chothromóir ualaigh a ainmníonn a theastas an linn snámha seachas an seoladh, fiú má tá an seoladh ceart. Is é LocalIdentifier an chéannacht a cheapann an freastalaí gur tú í, agus le fíordheimhniú teastais caithfidh sí teacht leis an gcéannacht atá nasctha le do chuntas. Feistíonn ServerCertificateIssuerCommonName an CA eisiúna, mar sin féadfaidh próifíl teip ar an lá a n-eisítear an teastas arís, gan aon teachtaireacht earráide a lua teastais.
Má tá AuthenticationMethod comhionann le SharedSecret, tá an freastalaí ag déanamh fíordheimhnithe úsáideora EAP agus is dintiúr cuntais i ndáiríre an rún a tugadh duit. Tá tábhacht leis sin nuair a sheolann soláthraí dhá dhoiciméad, ceann le haghaidh ainm úsáideora agus focal faire agus ceann le haghaidh teastais, agus ní thagann ach ceann amháin leis an rud a iompórtáil tú.
Cad is féidir leis an aip a dhéanamh agus nach féidir leis an gcliant dúchais
Is é rogha an phrótacail an buntáiste soiléir. Má labhraíonn do fhreastalaí WireGuard nó OpenVPN, is í an aip an t-aon chliant iOS a fhéadann é a úsáid, agus ní dhéanfaidh eagarthóireacht na foirme dúchais é a chaibidliú. Féadann aip tollán scoilte de réir cinn scríbe nó aipe, a láimhseáil DNS féin, blocáil ar stíl kill switch, roghnú freastalaí agus athnascadh tiúnta dá líonra féin a chur i bhfeidhm freisin.
Is é an praghas bogearraí nár iniúch tú, ag rith le pribhléidí síneadh líonra. Athraíonn cáilíocht níos mó ná mar a thugann cártaí an tsiopa le tuiscint: athnascann aip amháin go glan agus sceitheann ceann eile ar feadh cúpla soicind tar éis athrú líonra, agus is gné den aip sin é kill switch taobh istigh den aip, ní de iOS. Ar ghléas bainistithe, seiceáil an liosta ceadaithe ar dtús.
Cad a dhéanann an phróifíl IKEv2 ionsuite i gceart
Is é níos lú páirteanna gluaiste an argóint iomlán. Tagann an cliant IKEv2 agus a chruach IPsec leis an gcóras oibriúcháin, mar sin níl aon síneadh a fhéadfaidh titim, níl aon phróiseas in aghaidh na haipe le coinneáil beo, agus níl aon timthriall nuashonraithe tríú páirtí idir tú agus tollán atá ag obair. Is féidir próifíl a chur faoi ghlas freisin: ar ghléas faoi mhaoirseacht ní féidir leis an úsáideoir an rud a shuiteáil an bhainistíocht a bhaint, agus ní bhíonn Always On VPN, a athnascann ar aon líonra gan lasc úsáideora, ann ach sa bhfoirm mhaoirseachta sin atá á bhainistiú ag próifíl.
An rud nach dtugann an cosán ionsuite is ea solúbthacht. Níl aon VPN in aghaidh na haipe gan aipeanna bainistithe, níl aon kill switch don úsáideoir, agus níl aon iompar a bhreathnaíonn cosúil le HTTPS ar líonra a chuireann bac ar IPsec. I líonraí óstáin a chaithfidh UDP 500 agus 4500 i leataobh, níl aon chosán cúltaca ag IKEv2 ionsuite.
Tábla cinnteoireachta a réitíonn an chuid is mó de chásanna
Go praiticiúil socraíonn ceist an phrótacail an chuid is mó de chásanna sula mbíonn tábhacht le gnéithe.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Tá dhá ró ag tuilleamh dara hamharc. Is é an ceanglas in aghaidh na haipe ar fhón pearsanta an cás a léann daoine mícheart: tá an socrú in iOS ach is í an bhainistíocht a thiomáineann é, mar sin ní thairgfidh gléas nach bhfuil bainistithe é. Ní cúis é líonra blocáilte chun gan muinín a bheith agat as IKEv2; is é sin an chúis a bhfuil aip an tsoláthraí ann.
Fíoraigh an rogha le triail amháin
Tástáil na modhanna teipe, ní an cnaipe nasctha. Nasc uair amháin, deimhnigh go bhfeictear an táscaire VPN, ansin oscail leathanach a thugann do sheoladh poiblí ar ais agus cuir i gcomparáid leis an gceann roimhe. Athraigh ó Wi-Fi go sonraí móibíleacha gan an VPN a bhaint agus breathnaigh ar athnascadh, ansin tabhair an fón trí mhód eitleáin. Atosaigh agus féach an dtagann an tollán ar ais leis féin: ba cheart do phróifíl a bhfuil OnDemandEnabled aici, agus caithfear go leor aipeanna a oscailt ar dtús.
Nuair nach dtagann sé ar ais, roinn an teip de réir an bhfuil tollán ann ar chor ar bith. Ciallaíonn easpa táscaire VPN nár éirigh an tollán riamh: buaileadh an crannchur láimhe ar RemoteIdentifier, ar an CA feistithe nó ar dhintiúr, nó níor trialadh an nasc riamh mar nár mheaitseáil an riail ar éileamh agus níor thosaigh aon aip é. Ciallaíonn táscaire le trácht ag teip ródú, DNS nó polasaí ar thaobh an fhreastalaí, agus ní chuireann athshuiteáil an chliaint aon rud díobh sin i dteagmháil.
Liosta gearr chun an gléas a fhágáil in-mhínithe don chéad duine eile:
- iontráil VPN amháin, ní dhá cheann;
- an phróifíl nó an aip ainmnithe i ndiaidh an fhreastalaí a nascann sí leis;
- na luachanna céannachta scríofa áit a bhfaighidh tú iad.
Tosaigh le ró an phrótacail sa tábla, agus stad ansin má fhreagraíonn sé an cheist.