Személyes VPN vagy csomagalagút: két iPhone VPN-modell

Két iPhone-alkalmazás is helyezhet VPN-bejegyzést a Beállításokba, mindkettő VPN-kliensnek nevezheti magát, és szinte semmilyen megvalósítást nem oszt meg. Az Apple az egyik ilyen integrációt Személyes VPN-nek nevezi, és ez a név okozza a zavar nagy részét. A Személyes VPN egy API olyan konfigurációk létrehozására és kezelésére, amelyek a beépített IPsec vagy IKEv2 megvalósítást használják. A csomagalagút-szolgáltató a másik modell: az alkalmazás egy bővítményt szállít, amely a saját protokollja kliensoldalát valósítja meg. Minden, amit az emberek később a címkéből kikövetkeztetnek, a titkosításoktól a tulajdonlásig és addig, hogy a telefont kezelni kell-e, következtetés, nem állítás.

Ki valósítja meg az alagutat

A felosztás dönti el, ki a felelős, amikor valami elromlik. Beépített IPsec vagy IKEv2 esetén az iOS birtokolja az alagút állapotgépét, az alkalmazás pedig a konfigurációt és a gombokat. Szolgáltató esetén az alkalmazás mindkettőt birtokolja, így egy protokollhiba alkalmazásfrissítés lesz operációsrendszer-frissítés helyett.

Az összehasonlítás rövid, ha azt kérdezi, ki valósítja meg a protokollt.

A Személyes VPN dokumentációja megemlíti a felhasználó kifejezett engedélyezési kérését is, amikor egy alkalmazás először ment konfigurációt, ami ehhez a modellhez tartozik, nem pedig a VPN-alkalmazásokhoz általában.

Két állítás a címkéről, amelyektől érdemes eltekinteni

Az első, hogy a Személyes VPN titkosítást választ. Nem teszi; az egyeztetett csomag a protokollból és annak konfigurációjából származik, és a Személyes címke semmit sem mond arról, melyiket kapja. A második, hogy a Személyes VPN proxyt vagy korlátozott alagutat jelent. Beépített IPsec vagy IKEv2 jelent, ami teljes alagút, valahányszor az útvonalak ezt mondják.

Egy alkalmazás jelenléte tehát nem bizonyíték a vezetékes protokollról. A WireGuardot vagy OpenVPN-t beszélő harmadik féltől származó kliens konstrukció szerint szolgáltatói alkalmazás, mert az iOS nem valósítja meg ezeket a protokollokat natívan.

Miért félrevezető a vállalati megfogalmazás

Az Apple dokumentációja a NETunnelProviderManager-konfigurációkat rendes vállalati VPN-konfigurációkként sorolja be. Ez a megfogalmazás API-kategória, és két ellentétes hiba felé tolja az embereket: feltételezni, hogy egy fogyasztói alkalmazás nem használhatja a szolgáltatói modellt, és feltételezni, hogy a telefont ehhez felügyelet alatt kell tartani. Egyik sem következik. A fogyasztói alkalmazások rutinszerűen szállítanak szolgáltatókat, a felügyelet pedig külön kérdés arról, ki érvényesíthet szabályzatot.

A kezelés tulajdonlása az a negyedik kérdés, és független mindkét modelltől. Egy szervezet által telepített konfiguráció saját identitást, forgalmi hatókört és életciklus-szabályokat hordoz, és ezek a profillal utaznak, nem pedig a telepített alkalmazással. Olvassa őket az integrációs modell mellett, mert egy kezelt beépített profil és egy kezeletlen szolgáltatói profil ugyanazon a telefonon is lehet egyszerre.

Ellenőrizze a bizonyítékot a képernyőkép helyett

A képernyőképek a legrosszabb rendelkezésre álló bizonyítékok, mert a Beállítások csoportosítása verziók között változik. Egy kezelt profil megnevezi a saját hasznos teher típusát: a beépített profil VPN-típust deklarál, például IKEv2 vagy IPsec, míg a szolgáltatói profil olyan altípust hordoz, amely a szolgáltató csomagazonosítóját nevezi meg. Ez az Ön előtti eszközön ellenőrizhető, és átvészeli a következő újratervezést.

Magáról az alkalmazásról a használt osztály válaszol ugyanerre a kérdésre a másik oldalról: konfigurációs objektumok a Személyes VPN API-ból, vagy egy szolgáltatókezelő és annak bővítménye.

Ezután aszerint válasszon, amit az üzemeltető valóban kínál. Ahol létezik kompatibilis natív profil, ott a beépített útnak kevesebb mozgó alkatrésze van, és egy dologgal kevesebb frissítenivaló. Ahol a szolgáltatásnak olyan protokoll kell, amelyet az iOS nem szállít, ott a szolgáltatói alkalmazás az egyetlen lehetőség, és megjelenési ritmusa a kockázata részévé válik.

Tartsa a rekordot a kapcsolat mellett

Csatolja a hitelesítést és az erőforrás-szabályzatot a kapcsolati rekordhoz, ne az alkalmazáshoz, hogy az újratelepítés ne vigye magával az engedélyezési modellt. Ez a rekord az is, amire egy támogatási mérnöknek szüksége van, amikor az alagút feljön, és semmi más nem működik.

A végén felteendő kérdés nem az, melyik modell jobb. Hanem az, melyik modellt támogatja az üzemeltetője, és melyiket tudja hajnali kettőkor hibakeresni azokkal az eszközökkel, amelyekkel valóban rendelkezik.