VPN հավելված, թե՞ ներկառուցված IKEv2 iPhone-ում՝ ինչպես ընտրել
iPhone-ի VPN հավելվածը և ներկառուցված IKEv2 հաճախորդը լուծում են տարբեր խնդիրներ։ Նախ համեմատեք արձանագրությունների աջակցությունը, նույնականացումը, սարքի վերահսկումը և վերականգնումը։
Անցյալ շաբաթ գործընկերս ինձ մեկնեց իր iPhone-ը՝ «Կարգավորումներում» երկու VPN գրառմամբ. մեկը թողել էր մատակարարի հավելվածը, մյուսը՝ աջակցության էջից տեղադրված IKEv2 պրոֆիլից։ Սրանք նույն բանի մրցակից տարբերակներ չեն։ Մատակարարի հավելվածը կոնտեյներ է, որն ի վիճակի է իր հետ բերել սեփական թունելի կոդը, իսկ Apple-ի ներկառուցված հաճախորդը IKEv2 հաճախորդ է՝ ձեռքով կամ պրոֆիլով կարգավորվող։ Արձանագրությունը, հավատարմագրերի հետ վարվելը, սարքի վերահսկումը և վերականգնումը որոշում են ընտրությունը։
Հավելվածը և ներկառուցված հաճախորդը տարբեր շերտերում են
Apple-ի ներկառուցված VPN հաճախորդը գործնականում IKEv2 հաճախորդ է։ Ձեռքով ձևաթուղթը դեռ թվարկում է հնացած L2TP IPsec-ի վրա և Cisco IPsec տարբերակները, սակայն մատակարարի տրանսպորտի դաշտ չկա և OpenVPN կամ WireGuard կարգավորումը տեղադրելու տեղ չկա։ Դուք կա՛մ լրացնում եք ձևաթուղթ «Կարգավորումներ > Հիմնական > VPN & Սարքի կառավարում»-ում, կա՛մ ներմուծում եք VPN բեռնվածքով պրոֆիլ. մակերեսը սերվերի հասցե է, երկու ինքնություն, նույնականացման եղանակ և ըստ պահանջի ընտրովի կանոններ։
Մատակարարի հավելվածն աշխատում է մեկ շերտ վերևում։ Այն տրամադրում է Network Extension փաթեթային թունելի մատակարար, ուստի արձանագրության կոդը և երթուղավորման տրամաբանությունը ապրում են հավելվածում, իսկ iOS-ը միայն փոխանցում է փաթեթները։ Որոշ հավելվածներ իրականացնում են WireGuard կամ OpenVPN, մյուսները՝ սեփական քողարկված տրանսպորտ, իսկ մի քանիսը միայն տեղադրում են IKEv2 պրոֆիլ և կառավարում ներկառուցված հաճախորդը ավելի գեղեցիկ էկրանի հետևում։ Հենց այս վերջին խմբի պատճառով «հավելված, թե՞ պրոֆիլ» ընտրությունը երբեմն կեղծ է։
Հետևանքը գործնական է. .ovpn կամ WireGuard ֆայլը չի փոխարինում այդ դաշտերը, քանի որ ձեռքսեղմումը այլ արձանագրություն է։
Կարդացեք բեռնվածքը, նախքան գործառույթները համեմատելը
Երբ պրոֆիլը IKEv2 է, բեռնվածքի բանալիները բացատրում են ավելի շատ խափանումներ, քան գործառույթների ցանկացած համեմատություն։ Apple-ի IKEv2 կարգավորումների տեղեկատուն փաստաթղթավորում է յուրաքանչյուր բանալի. կրճատված բեռնվածքն այսպիսի տեսք ունի.
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Երեք դաշտ կրում են ախտորոշիչ ծանրության մեծ մասը։ RemoteIdentifier այն անունն է, որը հաճախորդը ակնկալում է սերվերից, ուստի NAT-ի հետևում գտնվող դարպասը կամ բեռնվածքի բալանսավորողը, որի սերտիֆիկատը նշում է լողավազանը, այլ ոչ թե հասցեն, ձախողվում է, չնայած հասցեն ճիշտ է։ LocalIdentifier այն ինքնությունն է, որով սերվերը ձեզ համարում է, և սերտիֆիկատով նույնականացման դեպքում այն պետք է համապատասխանի ձեր հաշվին կապված ինքնությանը։ ServerCertificateIssuerCommonName ամրագրում է թողարկող CA-ն, ուստի պրոֆիլը կարող է ձախողվել սերտիֆիկատի վերաթողարկման օրը, և ոչ մի սխալի հաղորդագրություն չի հիշատակի սերտիֆիկատներ։
Եթե AuthenticationMethod հավասար է SharedSecret-ի, սերվերը կատարում է EAP օգտատիրոջ նույնականացում, և ստացած գաղտնիքն իրականում հաշվի հավատարմագր է։ Սա կարևոր է, երբ մատակարարը ուղարկում է երկու փաստաթուղթ՝ մեկը օգտանվան և գաղտնաբառի, մյուսը սերտիֆիկատի համար, և միայն մեկը համապատասխանում է ներմուծածին։
Ինչ կարող է հավելվածը, և ինչ չի կարող ներկառուցված հաճախորդը
Արձանագրության ընտրությունը ակնհայտ առավելությունն է։ Եթե ձեր սերվերը խոսում է WireGuard կամ OpenVPN, հավելվածը միակ iOS հաճախորդն է, որը կարող է օգտագործել այն, և ներկառուցված ձևաթուղթը խմբագրելը դա չի բանակցի։ Հավելվածը կարող է նաև իրականացնել բաժանված թունել ըստ նպատակակետի կամ հավելվածի, սեփական DNS մշակում, kill switch ոճի արգելափակում, սերվերի ընտրություն և սեփական ցանցին հարմարեցված վերամիացում։
Գինը ձեր չստուգած ծրագրակազմն է, որն աշխատում է ցանցային ընդլայնման իրավունքներով։ Որակը տատանվում է ավելի, քան ենթադրում են խանութի քարտերը. մի հավելված մաքուր վերամիացվում է, մյուսը՝ ցանցի փոփոխությունից հետո մի քանի վայրկյան արտահոսում է, իսկ հավելվածի ներսի kill switch-ը այդ հավելվածի գործառույթն է, ոչ թե iOS-ի։ Կառավարվող սարքում նախ ստուգեք հաստատված ցանկը։
Ինչն է ներկառուցված IKEv2 պրոֆիլը ճիշտ անում
Ավելի քիչ շարժական մասեր՝ ամբողջ փաստարկը։ IKEv2 հաճախորդն ու նրա IPsec փաթեթը գալիս են համակարգի հետ, ուստի չկա ընդլայնում, որ կարող է ընկնել, չկա գործընթաց յուրաքանչյուր հավելվածի համար, որ պետք է կենդանի պահել, և չկա երրորդ կողմի թարմացումների ցիկլ ձեր և աշխատող թունելի միջև։ Պրոֆիլը կարելի է նաև կողպել. հսկվող սարքում օգտատերը չի կարող հեռացնել այն, ինչ տեղադրել է կառավարումը, իսկ Always On VPN-ը, որ վերամիացվում է ցանկացած ցանցում առանց օգտատիրոջ անջատիչի, գոյություն ունի միայն այդ հսկվող, պրոֆիլով կառավարվող ձևով։
Ինչ չի տալիս ներկառուցված ուղին՝ ճկունություն։ Չկա VPN յուրաքանչյուր հավելվածի համար առանց կառավարվող հավելվածների, չկա kill switch օգտատիրոջ համար և չկա տրանսպորտ, որ IPsec-ը արգելափակող ցանցում նմանվի HTTPS-ի։ Հյուրանոցային ցանցերում, որոնք թողնում են UDP 500 և 4500, ներկառուցված IKEv2-ը պահեստային ուղի չունի։
Որոշման աղյուսակ, որը լուծում է դեպքերի մեծ մասը
Գործնականում արձանագրության հարցը լուծում է դեպքերի մեծ մասը, նախքան գործառույթները նշանակություն կստանան։
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Երկու տող արժանի են երկրորդ հայացքի։ Անձնական հեռախոսում յուրաքանչյուր հավելվածի պահանջը այն դեպքն է, որ մարդիկ սխալ են կարդում. կարգավորումը գոյություն ունի iOS-ում, բայց ղեկավարվում է կառավարման կողմից, ուստի չկառավարվող սարքը այն չի առաջարկի։ Արգելափակված ցանցը IKEv2-ին չվստահելու պատճառ չէ. դա է պատճառը, որ մատակարարի հավելվածը գոյություն ունի։
Ստուգեք ընտրությունը մեկ փորձարկումով
Փորձարկեք խափանման եղանակները, ոչ թե միացման կոճակը։ Միացեք մեկ անգամ, համոզվեք, որ հայտնվել է VPN ցուցիչը, ապա բացեք էջ, որը վերադարձնում է ձեր հանրային հասցեն, և համեմատեք նախորդի հետ։ Անցեք Wi-Fi-ից բջջային տվյալների՝ չդիպչելով VPN-ին, և հետևեք վերամիացմանը, ապա հեռախոսն անցկացրեք ինքնաթիռի ռեժիմով։ Վերագործարկեք և տեսեք՝ թունելը ինքն իրեն վերադառնում է. OnDemandEnabled-ով պրոֆիլը պետք է վերադառնա, մինչդեռ շատ հավելվածներ նախ պետք է բացվեն։
Երբ այն չի վերադառնում, բաժանեք խափանումը՝ ըստ այն բանի, թե արդյոք թունել գոյություն ունի։ VPN ցուցիչի բացակայությունը նշանակում է, որ թունելը երբեք չի բարձրացել. կա՛մ ձեռքսեղմումը ձախողվել է RemoteIdentifier-ի, ամրագրված CA-ի կամ հավատարմագրի վրա, կա՛մ միացումը երբեք չի փորձվել, որովհետև ըստ պահանջի կանոնը չի համապատասխանել, և ոչ մի հավելված այն չի սկսել։ Ցուցիչ՝ ձախողվող երթևեկությամբ, նշանակում է երթուղավորում, DNS կամ սերվերի կողմի քաղաքականություն, և հաճախորդի վերատեղադրումը ոչ մեկին չի դիպչում։
Կարճ ցանկ, որպեսզի սարքը բացատրելի լինի հաջորդ մարդու համար.
- մեկ VPN գրառում, ոչ երկու.
- պրոֆիլը կամ հավելվածը կոչվում է այն սերվերի անունով, որին միանում է.
- ինքնության արժեքները գրված են այնտեղ, որտեղ կգտնեք դրանք։
Սկսեք աղյուսակի արձանագրության տողից և կանգ առեք այնտեղ, եթե այն պատասխանում է հարցին։