Lični VPN ili paketni tunel: dva VPN modela za iPhone

Dvije iPhone aplikacije mogu obje postaviti VPN unos u Postavkama, obje se nazivati VPN klijentima i gotovo da ne dijeliti nikakvu implementaciju. Apple jednu od tih integracija naziva Lični VPN, i upravo to ime stvara većinu zabune. Lični VPN je API za kreiranje i upravljanje konfiguracijama koje koriste ugrađenu IPsec ili IKEv2 implementaciju. Provajder paketnog tunela je drugi model: aplikacija isporučuje ekstenziju koja implementira klijentsku stranu vlastitog protokola. Sve što ljudi kasnije izvedu iz tog naziva, od šifri do vlasništva do toga mora li telefon biti pod upravljanjem, jeste zaključak, a ne tvrdnja.

Ko implementira tunel

Ta podjela odlučuje ko je odgovoran kada nešto pukne. Uz ugrađeni IPsec ili IKEv2, iOS posjeduje mašinu stanja tunela, a aplikacija posjeduje konfiguraciju i dugmad. Uz provajdera, aplikacija posjeduje oboje, pa greška u protokolu postaje ažuriranje aplikacije umjesto ažuriranja OS-a.

Poređenje je kratko ako pitate ko implementira protokol.

Dokumentacija Ličnog VPN-a takođe spominje eksplicitni upit za korisničko odobrenje kada aplikacija prvi put sačuva konfiguraciju, što pripada tom modelu, a ne VPN aplikacijama općenito.

Dvije tvrdnje o nazivu koje vrijedi napustiti

Prva je da Lični VPN bira šifru. Ne bira; pregovoreni skup dolazi iz protokola i njegove konfiguracije, a oznaka Lični ne govori ništa o tome koju ćete dobiti. Druga je da Lični VPN podrazumijeva proxy ili ograničen tunel. On podrazumijeva ugrađeni IPsec ili IKEv2, što je pun tunel kad god rute to kažu.

Prisustvo aplikacije stoga nije dokaz o žičnom protokolu. Klijent treće strane koji govori WireGuard ili OpenVPN po konstrukciji je provajderska aplikacija, jer iOS te protokole ne implementira nativno.

Zašto korporativna formulacija zavodi

Apple dokumentacija klasifikuje NETunnelProviderManager konfiguracije kao obične korporativne VPN konfiguracije. Ta formulacija je API kategorija i gura ljude prema dvije suprotne greške: pretpostavci da potrošačka aplikacija ne može koristiti provajderski model i pretpostavci da telefon zbog toga mora biti pod nadzorom. Nijedno ne slijedi. Potrošačke aplikacije redovno isporučuju provajdere, a nadzor je odvojeno pitanje o tome ko smije provoditi politiku.

Vlasništvo upravljanja je to četvrto pitanje i nezavisno je od oba modela. Konfiguracija koju instalira organizacija nosi vlastiti identitet, obim saobraćaja i pravila životnog ciklusa, i ona putuju s profilom, a ne s aplikacijom koja je slučajno instalirana. Čitajte ih uz integracioni model, jer upravljani ugrađeni profil i neupravljani provajderski profil mogu stajati na istom telefonu istovremeno.

Provjerite dokaz umjesto snimka ekrana

Snimci ekrana su najgori dostupni dokaz, jer se grupisanje u Postavkama mijenja između verzija. Upravljani profil imenuje vlastiti tip korisnog tereta: ugrađeni profil deklariše VPN tip kao što je IKEv2 ili IPsec, dok provajderski profil nosi podtip s identifikatorom paketa provajdera. To je provjerljivo na uređaju pred vama i preživljava sljedeći redizajn.

Za samu aplikaciju, klasa koja se koristi odgovara na isto pitanje s druge strane: konfiguracijski objekti iz Lični VPN API-ja, ili provajderski menadžer i njegova ekstenzija.

Zatim birajte prema onome što operator zaista pruža. Gdje postoji kompatibilan nativni profil, ugrađeni put ima manje pokretnih dijelova i jednu stvar manje za ažuriranje. Gdje usluzi treba protokol koji iOS ne isporučuje, provajderska aplikacija je jedina opcija i njen ritam izdanja postaje dio vašeg rizika.

Čuvajte zapis uz vezu

Pričvrstite autentifikaciju i politiku resursa za zapis veze, a ne za aplikaciju, da reinstalacija ne ponese model odobrenja sa sobom. Taj zapis je i ono što je inženjeru podrške potrebno kada se tunel podigne, a ništa drugo ne radi.

Pitanje koje vrijedi postaviti na kraju nije koji je model bolji. Nego koji model vaš operator podržava i koji možete otklanjati greške u dva sata ujutro s alatima koje zaista imate.