VPN ב-iPhone: פרופיל מקורי או אפליקציית ספק?

שלושה תנאים קובעים כיצד יש להגדיר VPN ב-iPhone: איזה פרוטוקול מציע השרת, אם הטלפון מנוהל אישית או נמצא בפיקוח, ומה חייב לקרות כשהרשת משתנה. פרופיל תצורה מקורי ואפליקציית ספק הם מנגנונים שונים, לא שתי דרכים להזין את אותה כתובת. התאמתם לתנאים האלה מונעת את רוב ההגדרות שנכשלות אחרי היציאה הראשונה מהבניין.

הפרוטוקול הוא המסנן הראשון; השני הוא מי שולט במכשיר.

התאימו את הפרוטוקול לפני חנות האפליקציות

iOS תומך בתצורות מקוריות של IKEv2, L2TP מעל IPsec ו-Cisco IPsec, כל אחת עם אפשרויות האימות ושדות הפרופיל שלה. פרוטוקולים אחרים, כולל OpenVPN ו-WireGuard, מגיעים דרך אפליקציה שמשתמשת במסגרת Network Extension. קובץ שנבנה לאחד לא יכול להיבחר כאל האחר, ולכן פרופיל שמיובא בצורה נקייה עדיין עלול להיכשל בהתחברות. אשרו את הפרוטוקול של השרת לפני בחירת הלקוח.

בקשו מהספק את התצורה המדויקת שהוא מצפה לה ל-iOS. הוראות למחשב מניחות לעתים קרובות תכונות שהטלפון אינו חושף, וייצוא ייעודי לטלפון מסיר את הניחוש.

פרופיל ברמת המערכת או חבילת אפליקציה

פרופיל מקורי מותקן ברמת המערכת, כך שהחיבור יכול להתקיים לפני שנפתחת אפליקציה כלשהי ויכול להיות מנוהל בידי מי שסיפק את הפרופיל. אפליקציית ספק אורזת את המנהרה בתוך יישום, ונותנת לספק מקום לממשק ולמערך התכונות שלו. בטלפון עבודה, פרופיל מנוהל עשוי לשאת אישורים וכללי גישה למשאבים מסוימים, והחלפתו באפליקציה אישית אינה החלפה שוות ערך. שאלו את מנהל המערכת לפני שמשנים משהו.

בטלפון אישי, בדקו את המקור לפני אישור פרופיל. ייצוא מלא וקודי QR עשויים להכיל פרטי התחברות או שורש מהימן, לכן התייחסו אליהם כאל סודות והרחיקו אותם מצילומי מסך ומשרשורי שיחה.

מה On Demand באמת מבטיח

On Demand יכול להעלות חיבור בתנאים ש-Apple מגדירה, ולמודל Always On בפיקוח יש התנהגות מחמירה יותר שמכשיר אישי אינו מקבל. אין להניח שתווית חיבור אוטומטי של אפליקציית צרכן מספקת אחד מהשניים. השאלות המעשיות הן מה קורה לפני שהמנהרה זמינה, מה קורה אחרי ניתוק ידני ומה קורה כשהטלפון מופעל מחדש. התחברות מחדש אוטומטית וחסימת תעבורה מחוץ למנהרה הן הבטחות נפרדות.

כיסוי הוא שאלה שלישית: התצורה עשויה לשאת את כל תעבורת האינטרנט, קבוצה של יעדים פרטיים, או רק אפליקציות מנוהלות.

בדקו מעברים וביטול הרשאה

השלימו תחילה כניסה לפורטל ה-Wi-Fi באמצעות ההנחיה הרגילה של iOS, כי פורטל כלוא לא יאפשר למנהרה להתבסס. לאחר מכן בדקו את המעברים שאתם חווים בפועל: מ-Wi-Fi לרשת סלולרית, מרשת סלולרית חזרה ל-Wi-Fi, ונעילת מסך כשהחיבור אינו פעיל. שימו לב אם המנהרה מתאוששת ואם האפליקציה מתאוששת איתה. שם פרוטוקול אינו מבטיח שיחה רציפה לאורך מעבר.

אזור שמור, מיקום מכשיר מורשה והתחברות חשבון מתמשכת אינם מדידות של היציאה הציבורית. בדקו את היישום המיועד ואת שתי משפחות הכתובות היכן שרלוונטי, בעזרת בדיקה שמדווחת מה קרה בפועל.

לטלפון שאבד, אשרו את מקור הפרופיל ואת תהליך הביטול. מחיקת אפליקציה מקומית אינה מסירה בהכרח את ההרשאה מרחוק שלה.