VPN su iPhone: profilo nativo o app del fornitore?

Tre condizioni decidono come configurare una VPN su un iPhone: quale protocollo offre il server, se il telefono è gestito personalmente o supervisionato, e cosa deve accadere quando la rete cambia. Un profilo di configurazione nativo e un'app del fornitore sono meccanismi diversi, non due modi per inserire lo stesso indirizzo. Allinearli a queste condizioni evita la maggior parte delle configurazioni che falliscono dopo la prima uscita dall'edificio.

Il protocollo è il primo filtro; il secondo è chi controlla il dispositivo.

Abbinate il protocollo prima dell'App Store

iOS supporta configurazioni native IKEv2, L2TP su IPsec e Cisco IPsec, ciascuna con le proprie opzioni di autenticazione e campi del profilo. Altri protocolli, tra cui OpenVPN e WireGuard, arrivano tramite un'app che usa il framework Network Extension. Un file creato per uno non può essere selezionato come l'altro, ed è per questo che un profilo che si importa correttamente può comunque non connettersi. Confermate il protocollo del server prima di scegliere il client.

Chiedete al fornitore la configurazione esatta che si aspetta per iOS. Le istruzioni per desktop spesso danno per scontate funzioni che il telefono non espone, e un export specifico per il telefono elimina le congetture.

Un profilo a livello di sistema o un pacchetto di app

Un profilo nativo viene installato a livello di sistema, così la connessione può esistere prima che si apra qualsiasi app e può essere gestita da chi ha fornito il profilo. Un'app del fornitore racchiude il tunnel in un'applicazione, dando al fornitore spazio per la propria interfaccia e le proprie funzioni. Su un telefono di lavoro, un profilo gestito può contenere certificati e regole di accesso a risorse specifiche, e sostituirlo con un'app personale non è uno scambio equivalente. Chiedete all'amministratore prima di cambiare qualsiasi cosa.

Su un telefono personale, controllate l'origine prima di approvare un profilo. Gli export completi e i codici QR possono contenere credenziali o una radice fidata, quindi trattateli come segreti e teneteli fuori da schermate e conversazioni.

Cosa promette davvero On Demand

On Demand può attivare una connessione in condizioni definite da Apple, e il modello Always On supervisionato ha un comportamento più severo che un dispositivo personale non riceve. Non si deve presumere che l'etichetta di connessione automatica di un'app consumer fornisca l'una o l'altra cosa. Le domande pratiche sono cosa succede prima che il tunnel sia disponibile, cosa succede dopo una disconnessione manuale e cosa succede quando il telefono si riavvia. Riconnettersi automaticamente e bloccare il traffico fuori dal tunnel sono promesse distinte.

La copertura è una terza questione: la configurazione può trasportare tutto il traffico internet, un insieme di destinazioni private o solo le app gestite.

Provate i passaggi di rete e la revoca

Completate prima l'accesso al portale Wi-Fi tramite la normale richiesta di iOS, perché un portale captive non lascerà stabilire il tunnel. Poi provate le transizioni che vivete davvero: da Wi-Fi a rete mobile, da mobile di nuovo a Wi-Fi e il blocco dello schermo con la connessione inattiva. Annotate se il tunnel si riprende e se l'app si riprende con esso. Un nome di protocollo non garantisce una chiamata ininterrotta durante un passaggio di rete.

Una regione salvata, una posizione del dispositivo consentita e un accesso all'account continuativo non sono misure dell'uscita pubblica. Provate l'applicazione prevista ed entrambe le famiglie di indirizzi quando pertinente, con un controllo che riferisca cosa è successo davvero.

Per un telefono smarrito, confermate l'origine del profilo e il processo di revoca. Eliminare un'app locale non rimuove necessariamente la sua autorizzazione remota.