VPN-alkalmazás vagy beépített IKEv2 az iPhone-on: hogyan válasszunk
Az iPhone VPN-alkalmazás és a beépített IKEv2-kliens más-más problémát old meg. Először a protokolltámogatást, a hitelesítést, az eszközkontrollt és a helyreállítást hasonlítsa össze.
Múlt héten egy kollégám a kezembe adta az iPhone-ját két VPN-bejegyzéssel a Beállításokban: az egyiket egy szolgáltatói alkalmazás hagyta, a másikat egy támogatási oldalról bemásolt IKEv2-profil. Ezek nem ugyanannak a versengő változatai. A szolgáltatói alkalmazás egy konténer, amely saját alagút-kódot hozhat magával, míg az Apple beépített kliense egy IKEv2-kliens, kézzel vagy profillal konfigurálva. A protokoll, a hitelesítő adatok kezelése, az eszközkontroll és a helyreállítás dönti el a választást.
Az alkalmazás és a beépített kliens más szinten áll
Az Apple beépített VPN-kliense a gyakorlatban IKEv2-kliens. A kézi űrlap még mindig felsorolja az elavult L2TP over IPsec és a Cisco IPsec lehetőségeket, de nincs mező a szolgáltatói átvitelhez, és nincs hely OpenVPN- vagy WireGuard-konfiguráció beillesztésére. Vagy kitölt egy űrlapot a Beállítások > Általános > VPN & Eszközkezelés alatt, vagy importál egy profilt VPN-hasznos teherrel; a felület egy kiszolgálócím, két identitás, egy hitelesítési módszer és opcionális igény szerinti szabályok.
A szolgáltatói alkalmazás egy szinttel feljebb dolgozik. Network Extension csomagalagút-szolgáltatót szállít, így a protokollkód és az útválasztási logika az alkalmazásban él, az iOS pedig csak továbbítja a csomagokat. Egyes alkalmazások WireGuardot vagy OpenVPN-t valósítanak meg, mások saját álcázott átvitelt, és néhány csak egy IKEv2-profilt telepít, és a beépített klienst egy szebb képernyő mögül vezérli. Ez utóbbi csoport miatt az alkalmazás vagy profil kérdése néha hamis választás.
A következmény gyakorlati: egy .ovpn vagy WireGuard-fájl nem helyettesíti ezeket a mezőket, mert a kézfogás más protokoll.
Olvassa el a hasznos terhet, mielőtt a funkciókat összehasonlítja
Amikor a profil IKEv2, a hasznos teher kulcsai több hibát magyaráznak, mint bármely funkció-összehasonlítás. Az Apple IKEv2-beállítások referenciája minden kulcsot dokumentál; egy csonkított teher így néz ki:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Három mező hordozza a diagnosztikai súly nagy részét. A RemoteIdentifier az a név, amelyet a kliens a kiszolgálótól vár, ezért a NAT mögötti átjáró vagy az a terheléselosztó, amelynek tanúsítványa a cím helyett a készletet nevezi meg, akkor is meghiúsul, ha a cím helyes. A LocalIdentifier az az identitás, amelynek a kiszolgáló önt tartja, és tanúsítványos hitelesítésnél egyeznie kell a fiókjához rendelt identitással. A ServerCertificateIssuerCommonName rögzíti a kiállító CA-t, ezért egy profil meghiúsulhat a tanúsítvány újrakiadásának napján, anélkül hogy bármely hibaüzenet említené a tanúsítványokat.
Ha a AuthenticationMethod egyenlő a SharedSecret-tal, a kiszolgáló EAP-felhasználó-hitelesítést végez, és a kapott titok valójában fiók-hitelesítő adat. Ez akkor számít, amikor a szolgáltató két dokumentumot küld, egyet a felhasználónévhez és jelszóhoz, egyet egy tanúsítványhoz, és csak az egyik egyezik az importálttal.
Mit tud az alkalmazás, és mit nem a beépített kliens
A protokollválasztás a nyilvánvaló előny. Ha a kiszolgálója WireGuardot vagy OpenVPN-t beszél, az alkalmazás az egyetlen iOS-kliens, amely használhatja, és a beépített űrlap szerkesztése ezt nem tárgyalja meg. Az alkalmazás megvalósíthat cél vagy alkalmazás szerinti osztott alagutat, saját DNS-kezelést, kill switch stílusú blokkolást, kiszolgálóválasztást és a saját hálózatához hangolt újracsatlakozást.
Az ár a nem auditált szoftver, amely egy hálózati kiterjesztés jogosultságaival fut. A minőség jobban ingadozik, mint a boltlisták sugallják: az egyik alkalmazás tisztán újracsatlakozik, míg egy másik hálózatváltás után néhány másodpercig szivárog, és az alkalmazáson belüli kill switch az adott alkalmazás funkciója, nem az iOS-é. Kezelt eszközön először ellenőrizze a jóváhagyott listát.
Mit csinál jól a beépített IKEv2-profil
Kevesebb mozgó alkatrész – ez az egész érv. Az IKEv2-kliens és IPsec-vereme a rendszerrel érkezik, így nincs összeomolható kiterjesztés, nincs alkalmazásonként életben tartandó folyamat, és nincs harmadik fél frissítési ciklusa ön és egy működő alagút között. Egy profil zárolható is: felügyelt eszközön a felhasználó nem távolíthatja el azt, amit a kezelés telepített, és az Always On VPN, amely felhasználói kapcsoló nélkül bármely hálózaton újracsatlakozik, csak ebben a felügyelt, profillal kezelt formában létezik.
Amit a beépített út nem ad, az a rugalmasság. Nincs alkalmazásonkénti VPN kezelt alkalmazások nélkül, nincs felhasználói kill switch, és nincs olyan átvitel, amely az IPsec-et blokkoló hálózaton HTTPS-nek látszana. Az UDP 500-at és 4500-at eldobó szállodai hálózatokon a beépített IKEv2-nek nincs tartalék útja.
Döntési táblázat, amely a legtöbb esetet eldönti
A gyakorlatban a protokoll kérdése eldönti a legtöbb esetet, mielőtt a funkciók számítanának.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Két sor megérdemel egy második pillantást. Az alkalmazásonkénti követelmény személyes telefonon az az eset, amelyet az emberek félreolvasnak: a beállítás létezik az iOS-ben, de a kezelés vezérli, ezért egy nem kezelt eszköz nem kínálja fel. Egy blokkolt hálózat nem ok arra, hogy ne bízzunk az IKEv2-ben; ez az oka annak, hogy a szolgáltató alkalmazása létezik.
Ellenőrizze a választást egyetlen próbával
A hiba módjait tesztelje, ne a csatlakozás gombot. Csatlakozzon egyszer, erősítse meg, hogy megjelenik a VPN-jelző, majd nyisson meg egy oldalt, amely visszaadja a nyilvános címét, és hasonlítsa össze az előzővel. Váltson Wi-Fi-ről mobil adatra anélkül, hogy hozzányúlna a VPN-hez, és figyelje az újracsatlakozást, majd vigye át a telefont repülőgép üzemmódon. Indítsa újra, és nézze meg, visszatér-e magától az alagút: a OnDemandEnabled-at tartalmazó profilnak igen, míg sok alkalmazást előbb meg kell nyitni.
Ha nem tér vissza, ossza fel a hibát aszerint, hogy egyáltalán létezik-e alagút. Nincs VPN-jelző azt jelenti, hogy az alagút soha nem jött fel: vagy a kézfogás hiúsult meg a RemoteIdentifier-nél, a rögzített CA-nál vagy egy hitelesítő adatnál, vagy a kapcsolatot soha nem próbálták meg, mert az igény szerinti szabály nem egyezett, és egyetlen alkalmazás sem indította el. A jelző sikertelen forgalommal azt jelenti, hogy útválasztás, DNS vagy kiszolgálóoldali szabályzat a probléma, és a kliens újratelepítése egyikhez sem nyúl.
Rövid lista, hogy az eszköz érthető maradjon a következő embernek:
- egy VPN-bejegyzés, nem kettő;
- a profil vagy alkalmazás annak a kiszolgálónak a nevét viseli, amelyhez csatlakozik;
- az identitásértékek ott leírva, ahol megtalálhatja őket.
Kezdje a táblázat protokollsorával, és álljon meg ott, ha az megválaszolja a kérdést.