व्यक्तिगत VPN या पैकेट टनल: iPhone के लिए दो VPN मॉडल
एक मॉडल iOS के अंतर्निहित IPsec या IKEv2 को कॉन्फ़िगर करता है; दूसरा ऐसा प्रदाता देता है जो अपना प्रोटोकॉल लागू करता है। उत्पाद का नाम नहीं बताता कि आपको कौन सा मिला।
दो iPhone ऐप दोनों सेटिंग्स में एक VPN प्रविष्टि रख सकते हैं, दोनों खुद को VPN क्लाइंट कह सकते हैं और लगभग कोई कार्यान्वयन साझा नहीं करते। Apple इनमें से एक एकीकरण को व्यक्तिगत VPN कहता है, और यही नाम अधिकांश भ्रम पैदा करता है। व्यक्तिगत VPN एक API है ऐसी कॉन्फ़िगरेशन बनाने और प्रबंधित करने के लिए जो अंतर्निहित IPsec या IKEv2 कार्यान्वयन का उपयोग करती हैं। पैकेट-टनल प्रदाता दूसरा मॉडल है: ऐप एक एक्सटेंशन भेजता है जो अपने प्रोटोकॉल के क्लाइंट पक्ष को लागू करता है। इसके बाद लोग इस लेबल से जो भी अनुमान लगाते हैं, सिफ़र से लेकर स्वामित्व और फ़ोन के प्रबंधित होने की आवश्यकता तक, वह अनुमान है, कथन नहीं।
टनल कौन लागू करता है
यह विभाजन तय करता है कि कुछ टूटने पर ज़िम्मेदार कौन है। अंतर्निहित IPsec या IKEv2 के साथ, टनल की स्टेट मशीन iOS की है और ऐप कॉन्फ़िगरेशन तथा बटनों का मालिक है। प्रदाता के साथ, ऐप दोनों का मालिक है, इसलिए प्रोटोकॉल की गड़बड़ ऑपरेटिंग सिस्टम अपडेट के बजाय ऐप अपडेट बन जाती है।
कौन प्रोटोकॉल लागू करता है यह पूछें तो तुलना छोटी है।
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
व्यक्तिगत VPN दस्तावेज़ उस स्पष्ट उपयोगकर्ता प्राधिकरण संकेत का भी उल्लेख करता है जब कोई ऐप पहली बार कॉन्फ़िगरेशन सहेजता है, जो आम तौर पर VPN ऐप का नहीं, उसी मॉडल का लक्षण है।
लेबल के बारे में दो दावे जिन्हें छोड़ देना चाहिए
पहला यह है कि व्यक्तिगत VPN एक सिफ़र चुनता है। ऐसा नहीं करता; बातचीत से तय सूट प्रोटोकॉल और उसके कॉन्फ़िगरेशन से आता है, और व्यक्तिगत लेबल यह नहीं बताता कि आपको कौन सा मिलेगा। दूसरा यह है कि व्यक्तिगत VPN का अर्थ प्रॉक्सी या सीमित टनल है। इसका अर्थ अंतर्निहित IPsec या IKEv2 है, जो तब पूरा टनल होता है जब रूट ऐसा कहते हैं।
इसलिए किसी ऐप की उपस्थिति वायर प्रोटोकॉल के बारे में कोई सबूत नहीं है। WireGuard या OpenVPN बोलने वाला तीसरे पक्ष का क्लाइंट रचना से ही प्रदाता ऐप है, क्योंकि iOS उन प्रोटोकॉलों को मूल रूप से लागू नहीं करता।
एंटरप्राइज़ शब्दावली क्यों भ्रमित करती है
Apple का दस्तावेज़ NETunnelProviderManager कॉन्फ़िगरेशन को सामान्य एंटरप्राइज़ VPN कॉन्फ़िगरेशन के रूप में वर्गीकृत करता है। यह शब्दावली एक API श्रेणी है, और यह लोगों को दो विपरीत गलतियों की ओर धकेलती है: यह मानना कि उपभोक्ता ऐप प्रदाता मॉडल का उपयोग नहीं कर सकता, और यह मानना कि इसके लिए फ़ोन को निगरानी में रखना ज़रूरी है। दोनों में से कोई नहीं निकलता। उपभोक्ता ऐप नियमित रूप से प्रदाता भेजते हैं, और निगरानी इस बात का अलग प्रश्न है कि नीति कौन लागू कर सकता है।
प्रबंधन स्वामित्व वह चौथा प्रश्न है, और यह दोनों मॉडलों से स्वतंत्र है। किसी संगठन द्वारा स्थापित कॉन्फ़िगरेशन अपनी पहचान, ट्रैफ़िक सीमा और जीवनचक्र नियम साथ लाता है, और वे प्रोफ़ाइल के साथ चलते हैं, न कि उस ऐप के साथ जो संयोग से स्थापित हो। इन्हें एकीकरण मॉडल के साथ पढ़ें, क्योंकि एक प्रबंधित अंतर्निहित प्रोफ़ाइल और एक अप्रबंधित प्रदाता प्रोफ़ाइल एक ही फ़ोन पर एक साथ हो सकते हैं।
स्क्रीनशॉट के बजाय सबूत जाँचें
स्क्रीनशॉट उपलब्ध सबसे खराब सबूत हैं, क्योंकि सेटिंग्स का समूहन संस्करणों के बीच बदलता है। एक प्रबंधित प्रोफ़ाइल अपना पेलोड प्रकार बताती है: अंतर्निहित प्रोफ़ाइल IKEv2 या IPsec जैसा VPN प्रकार घोषित करती है, जबकि प्रदाता प्रोफ़ाइल ऐसा उपप्रकार रखती है जो प्रदाता के बंडल पहचानकर्ता का नाम बताता है। यह आपके सामने के डिवाइस पर जाँचा जा सकता है, और यह अगले पुनर्डिज़ाइन तक टिकता है।
ऐप की बात करें तो, उपयोग में आने वाली क्लास दूसरी ओर से वही प्रश्न का उत्तर देती है: व्यक्तिगत VPN API से कॉन्फ़िगरेशन ऑब्जेक्ट, या एक प्रदाता प्रबंधक और उसका एक्सटेंशन।
फिर ऑपरेटर वास्तव में जो देता है उसके अनुसार चुनें। जहाँ संगत मूल प्रोफ़ाइल है, वहाँ अंतर्निहित मार्ग में कम चलते हुए भाग हैं और अपडेट करने के लिए एक चीज़ कम है। जहाँ सेवा को ऐसा प्रोटोकॉल चाहिए जो iOS नहीं देता, वहाँ प्रदाता ऐप ही एकमात्र विकल्प है और उसकी रिलीज़ गति आपके जोखिम का हिस्सा बन जाती है।
रिकॉर्ड को कनेक्शन के साथ रखें
प्रमाणीकरण और संसाधन नीति को ऐप के बजाय कनेक्शन रिकॉर्ड से जोड़ें, ताकि पुनःस्थापन प्राधिकरण मॉडल को साथ न ले जाए। यही रिकॉर्ड सहायता इंजीनियर को तब चाहिए जब टनल उठे और और कुछ काम न करे।
अंत में पूछने योग्य प्रश्न यह नहीं है कि कौन सा मॉडल बेहतर है। प्रश्न यह है कि आपका ऑपरेटर किस मॉडल का समर्थन करता है, और रात दो बजे आपके पास जो औज़ार हैं उनसे आप किसे डिबग कर सकते हैं।