VPN-forrit eða innbyggt IKEv2 í iPhone: hvernig á að velja
VPN-forrit fyrir iPhone og innbyggði IKEv2-viðskiptavinurinn leysa mismunandi vandamál. Berðu fyrst saman stuðning við samskiptareglur, auðkenningu, stjórn tækisins og endurheimt.
Í síðustu viku rétti samstarfsmaður mér iPhoneinn sinn með tvær VPN-færslur í Stillingum: aðra eftir forrit söluaðila, hina úr IKEv2-sniði sem var límt af stuðningssíðu. Þetta eru ekki keppinautar útgáfur af sama hlutnum. Forrit söluaðila er ílát sem getur borið eigin göngukóða, en innbyggði viðskiptavinur Apple er IKEv2-viðskiptavinur sem stilltur er handvirkt eða með sniði. Samskiptaregla, meðferð skilríkja, stjórn tækisins og endurheimt ráða valinu.
Forritið og innbyggði viðskiptavinurinn eru á mismunandi lögum
Innbyggði VPN-viðskiptavinur Apple er í reynd IKEv2-viðskiptavinur. Handvirka eyðublaðið listar enn úrelta L2TP yfir IPsec og Cisco IPsec valkostina, en það er ekkert reitur fyrir flutning söluaðila og hvergi hægt að líma OpenVPN- eða WireGuard-stillingu. Þú fyllir annaðhvort út eyðublað undir Stillingar > Almennt > VPN & Tækjastjórnun eða flytur inn snið með VPN-hleðslu; flöturinn er netfangsþjónn, tvö auðkenni, auðkenningaraðferð og valfrjálsar eftirspurnarreglur.
Forrit söluaðila vinnur einu lagi ofar. Það sendir með Network Extension pakkagönguveitu, svo samskiptareglukóðinn og leiðarstýringin eru í forritinu og iOS sendir aðeins pakka áfram. Sum forrit útfæra WireGuard eða OpenVPN, önnur eigin dulda flutning, og fáein setja aðeins upp IKEv2-snið og stýra innbyggða viðskiptavininum bak við fallegri skjá. Síðasti hópurinn er ástæðan fyrir því að forrit á móti sniði er stundum fölsk val.
Afleiðingin er hagnýt: .ovpn- eða WireGuard-skrá kemur ekki í stað þessara reita, því handabandið er önnur samskiptaregla.
Lestu hleðsluna áður en þú berð saman eiginleika
Þegar sniðið er IKEv2 útskýra lyklar hleðslunnar fleiri bilnanir en nokkur eiginleikasamanburður. viðmiðun Apple um IKEv2-stillingar skjalfestir hvern lykil; stytt hleðsla lítur svona út:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Þrír reitir bera mestan þunga greiningarinnar. RemoteIdentifier er nafnið sem viðskiptavinurinn væntir að þjónninn sýni, svo gátt bak við NAT eða hleðsludreifir þar sem skilríkið nefnir þyrpinguna í stað netfangsins bregst þótt netfangið sé rétt. LocalIdentifier er auðkennið sem þjónnum heldur að þú hafir, og með skilríkisauðkenningu verður það að samsvara auðkenninu sem er tengt reikningnum þínum. ServerCertificateIssuerCommonName festir útgefandi CA, svo snið getur brugðist daginn sem skilríkið er endurútgefið, án þess að nokkur villuboð nefni skilríki.
Ef AuthenticationMethod er SharedSecret gerir þjónninn EAP-notendaaðkenningu og leyndarmálið sem þú fékkst er í raun reikningsskilríki. Það skiptir máli þegar söluaðili sendir tvö skjöl, eitt fyrir notandanafn og lykilorð og eitt fyrir skilríki, og aðeins eitt passar við það sem þú fluttir inn.
Hvað forritið getur og innbyggði viðskiptavinurinn ekki
Samskiptaregluvalið er augljósi kosturinn. Ef þjónninn þinn talar WireGuard eða OpenVPN er forrit eina iOS-viðskiptavinurinn sem getur notað það, og að breyta innbyggða eyðublaðinu semur það ekki. Forrit getur einnig útfært skipta göngu eftir áfangastað eða forriti, eigin DNS-meðferð, lokun í stíl kill switch, val á þjóni og endurtengingu sem er stillt fyrir eigið net.
Kostnaðurinn er hugbúnaður sem þú hefur ekki endurskoðað og keyrir með réttindum netlengingar. Gæðin eru breytilegri en verslanaskrárnar gefa til kynna: eitt forrit tengist aftur hreint á meðan annað lekur í nokkrar sekúndur eftir netbreytingu, og kill switch inni í forritinu er eiginleiki þess forrits, ekki iOS. Á stýrðu tæki skaltu fyrst athuga samþykktu listann.
Hvað innbyggða IKEv2-sniðið gerir rétt
Færri hreyfanlegir hlutir eru öll röksemdin. IKEv2-viðskiptavinurinn og IPsec-stakkurinn fylgja stýrikerfinu, svo það er engin viðbót sem getur hrunið, ekkert ferli fyrir hvert forrit sem þarf að halda lifandi og engin uppfærslusveifla þriðja aðila milli þín og virkrar göngu. Einnig er hægt að læsa sniði: á eftirlitstæki getur notandinn ekki fjarlægt það sem stjórnunin setti upp, og Always On VPN, sem tengist aftur á hvaða neti sem er án rofa fyrir notandann, er aðeins til í þeirri eftirlituðu, sniðstýrðu mynd.
Það sem innbyggða leiðin gefur þér ekki er sveigjanleiki. Það er ekkert VPN fyrir hvert forrit án stýrðra forrita, enginn kill switch fyrir notandann og enginn flutningur sem lítur út eins og HTTPS á neti sem lokar IPsec. Á hótelnetum sem sleppa UDP 500 og 4500 hefur innbyggt IKEv2 enga varaleið.
Ákvörðunartafla sem leysir flest tilvik
Í reynd ræður samskiptaregluspurningin flestum tilvikum áður en eiginleikar skipta máli.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Tvær línur eiga skilið annað augnaráð. Krafa fyrir hvert forrit á einkasíma er tilvikið sem fólk les rangt: stillingin er til í iOS en stjórnunin keyrir hana, svo tæki sem er ekki stýrt býður hana ekki. Lokað net er ekki ástæða til að vantreysta IKEv2; það er ástæðan fyrir því að forrit söluaðilans er til.
Staðfestu valið með einni prófun
Prófaðu bilnanamátana, ekki tengihnappinn. Tengstu einu sinni, staðfestu að VPN-vísirinn birtist, opnaðu svo síðu sem sendir opinbert netfang þitt til baka og berðu það saman við fyrra. Skiptu úr Wi-Fi yfir á farsímagögn án þess að snerta VPN og fylgstu með endurtengingu, farðu svo með símann í flugstillingu. Endurræstu og sjáðu hvort göngin koma til baka af sjálfu sér: snið með OnDemandEnabled ætti að gera það, en mörg forrit þurfa að opnast fyrst.
Þegar þau koma ekki til baka skaltu skipta biluninni eftir því hvort göng eru yfirhöfuð til. Enginn VPN-vísir þýðir að göngin hafi aldrei risið: annaðhvort brást handabandið á RemoteIdentifier, festa CA-inu eða skilríki, eða tilraunin var aldrei gerð því eftirspurnarreglan passaði ekki og ekkert forrit ræsti hana. Vísir með bilandi umferð þýðir leiðarstýringu, DNS eða stefnu þjónsins, og að setja viðskiptavininn upp aftur snertir ekkert af því.
Stuttur listi svo hægt sé að útskýra tækið fyrir næsta manni:
- ein VPN-færsla, ekki tvær;
- sniðið eða forritið nefnt eftir þjóninum sem það tengist;
- auðkennisgildin skrifuð niður þar sem þú finnur þau.
Byrjaðu á samskiptareglulínunni í töflunni og stöðvaðu þar ef hún svarar spurningunni.