iPhone の VPN：ネイティブプロファイルか提供元アプリか

iPhone で VPN をどう設定するかは、サーバーがどのプロトコルを提供するか、端末が個人管理か監視下か、ネットワークが変わったときに何が起きるべきかという三つの条件で決まります。ネイティブの構成プロファイルと提供元アプリは別の仕組みであり、同じアドレスを入力する二つの方法ではありません。これらを条件に合わせれば、建物を初めて出た後に失敗する設定のほとんどを避けられます。

プロトコルが最初の絞り込みで、二つ目は誰が端末を管理するかです。

App Store の前にプロトコルを合わせる

iOS はネイティブの IKEv2、L2TPIPsec 経由および Cisco IPsec の構成に対応し、それぞれに独自の認証オプションとプロファイル項目があります。OpenVPN や WireGuard を含む他のプロトコルは、Network Extension フレームワークを使うアプリを通じて提供されます。一方のために作られたファイルを他方として選ぶことはできず、だからこそきれいに読み込めたプロファイルでも接続に失敗することがあります。クライアントを選ぶ前にサーバーのプロトコルを確認してください。

提供元に iOS 向けに想定している正確な構成を尋ねてください。デスクトップ向けの手順は端末が公開しない機能を前提にすることが多く、端末専用のエクスポートなら推測が不要になります。

システムレベルのプロファイルかアプリバンドルか

ネイティブプロファイルはシステムレベルでインストールされるため、どのアプリを開く前から接続が存在でき、プロファイルを提供した者が管理できます。提供元アプリはトンネルをアプリ内にまとめ、提供元が独自の画面と機能を用意する余地を与えます。業務用の端末では、管理されたプロファイルが特定リソース向けの証明書とアクセス規則を持つことがあり、個人用アプリに置き換えるのは同等の交換ではありません。何かを変える前に管理者に確認してください。

個人の端末では、プロファイルを承認する前に提供元を確認してください。完全なエクスポートや QR コードには資格情報や信頼されたルートが含まれることがあるため、秘密として扱い、スクリーンショットやチャットに残さないでください。

On Demand が実際に約束するもの

On Demand は Apple が定める条件で接続を立ち上げられ、監視下の Always On モデルには個人端末では得られない厳格な挙動があります。消費者向けアプリの自動接続という表示がどちらかを提供すると考えるべきではありません。実務的な問いは、トンネルが利用可能になる前に何が起きるか、手動で切断した後に何が起きるか、端末を再起動したときに何が起きるかです。自動再接続とトンネル外の通信の遮断は別々の約束です。

適用範囲は三つ目の問いで、構成はすべてのインターネット通信を運ぶことも、一連のプライベートな宛先だけを運ぶことも、管理対象アプリだけを運ぶこともあります。

移行と失効をテストする

キャプティブポータルはトンネルの確立を許さないため、まず通常の iOS のプロンプトから Wi-Fi ポータルにサインインしてください。次に、Wi-Fi からモバイルへ、モバイルから Wi-Fi へ戻る場合、接続が待機状態のまま画面をロックした場合という、実際に経験する切り替えを試します。トンネルが復旧するか、アプリも一緒に復旧するかを記録します。プロトコル名は移行をまたぐ通話の途切れなさを保証しません。

保存された地域、許可された端末の位置、継続するアカウントのログインは、公開出口の測定値ではありません。対象のアプリと、該当する場合は両方のアドレスファミリーを、実際に何が起きたかを報告する確認でテストしてください。

紛失した端末では、プロファイルの提供元と失効の手順を確認してください。ローカルのアプリを削除しても、その遠隔の承認が必ず外れるわけではありません。