VPN persoal ou túnel de paquetes: dous modelos de VPN para iPhone

Dúas aplicacións de iPhone poden ambas engadir unha entrada de VPN nos Axustes, ambas chamarse clientes de VPN e non compartir case ningunha implementación. Apple chama VPN persoal a unha desas integracións, e ese nome produce a maior parte da confusión. VPN persoal é unha API para crear e xestionar configuracións que usan a implementación integrada de IPsec ou IKEv2. Un provedor de túnel de paquetes é o outro modelo: a aplicación inclúe unha extensión que implementa o lado cliente do seu propio protocolo. Todo o que a xente infire despois da etiqueta, desde os cifrados ata a propiedade e ata se o teléfono debe xestionarse, é inferencia e non declaración.

Quen implementa o túnel

A división decide quen é responsable cando algo falla. Con IPsec ou IKEv2 integrados, iOS posúe a máquina de estados do túnel e a aplicación posúe a configuración e os botóns. Cun provedor, a aplicación posúe ambas as dúas cousas, así que un erro de protocolo convértese nunha actualización da aplicación en lugar dunha do sistema operativo.

A comparación é breve se preguntas quen implementa o protocolo.

A documentación de VPN persoal tamén menciona o aviso explícito de autorización do usuario cando unha aplicación garda unha configuración por primeira vez, o que pertence a ese modelo e non ás aplicacións de VPN en xeral.

Dúas afirmacións sobre a etiqueta que convén retirar

A primeira é que VPN persoal selecciona un cifrado. Non o fai; o conxunto negociado procede do protocolo e da súa configuración, e unha etiqueta Persoal non di nada sobre cal obterás. A segunda é que VPN persoal implica un proxy ou un túnel limitado. Implica IPsec ou IKEv2 integrados, que é un túnel completo sempre que as rutas o digan.

Por tanto, a presenza dunha aplicación non é proba sobre o protocolo de cable. Un cliente de terceiros que fala WireGuard ou OpenVPN é por construción unha aplicación de provedor, porque iOS non implementa eses protocolos de forma nativa.

Por que a redacción empresarial engana

A documentación de Apple clasifica as configuracións de NETunnelProviderManager como configuracións VPN empresariais normais. Esa redacción é unha categoría de API, e empurra a xente cara a dous erros opostos: supor que unha aplicación de consumo non pode usar o modelo de provedor, e supor que o teléfono debe estar supervisado para iso. Ningunha das dúas se segue. As aplicacións de consumo inclúen provedores habitualmente, e a supervisión é unha cuestión aparte sobre quen pode aplicar políticas.

A propiedade da xestión é esa cuarta cuestión, e é independente de ambos os modelos. Unha configuración instalada por unha organización leva a súa propia identidade, alcance de tráfico e regras de ciclo de vida, e esas viaxan co perfil e non coa aplicación que estea instalada. Léaas xunto ao modelo de integración, porque un perfil integrado xestionado e un perfil de provedor non xestionado poden estar nun mesmo teléfono ao mesmo tempo.

Comproba a evidencia en lugar da captura de pantalla

As capturas de pantalla son a peor evidencia dispoñible, porque a agrupación dos Axustes cambia entre versións. Un perfil xestionado nomea o seu propio tipo de carga: un perfil integrado declara un tipo de VPN como IKEv2 ou IPsec, mentres que un perfil de provedor leva un subtipo que nomea o identificador de paquete do provedor. Iso é comprobable no dispositivo que tes diante, e sobrevive ao seguinte redeseño.

En canto á aplicación en si, a clase en uso responde á mesma pregunta desde o outro lado: obxectos de configuración da API de VPN persoal, ou un xestor de provedor e a súa extensión.

Despois escolle segundo o que o operador subministra realmente. Onde existe un perfil nativo compatible, a vía integrada ten menos pezas móbiles e unha cousa menos que actualizar. Onde o servizo necesita un protocolo que iOS non inclúe, unha aplicación de provedor é a única opción e o seu ritmo de versións pasa a formar parte do teu risco.

Conserva o rexistro coa conexión

Vincula a autenticación e a política de recursos ao rexistro de conexión e non á aplicación, para que unha reinstalación non se leve o modelo de autorización. Ese rexistro é tamén o que necesita un enxeñeiro de soporte cando o túnel se ergue e nada máis funciona.

A pregunta que paga a pena facer ao final non é que modelo é mellor. É que modelo admite o teu operador, e cal podes depurar ás dúas da madrugada coas ferramentas que realmente tes.