VPN აპი თუ ჩაშენებული IKEv2 iPhone-ზე: როგორ ავირჩიოთ
iPhone-ის VPN აპი და ჩაშენებული IKEv2 კლიენტი სხვადასხვა პრობლემას წყვეტს. ჯერ შეადარეთ პროტოკოლების მხარდაჭერა, აუთენტიფიკაცია, მოწყობილობის კონტროლი და აღდგენა.
გასულ კვირას კოლეგამ მომაწოდა თავისი iPhone ორი VPN ჩანაწერით პარამეტრებში: ერთი პროვაიდერის აპმა დატოვა, მეორე — მხარდაჭერის გვერდიდან ჩასმული IKEv2 პროფილიდან. ეს არ არის ერთი და იმავეს კონკურენტი ვერსიები. პროვაიდერის აპი კონტეინერია, რომელსაც შეუძლია თავისი გვირაბის კოდი მოიტანოს, ხოლო Apple-ის ჩაშენებული კლიენტი IKEv2 კლიენტია, ხელით ან პროფილით კონფიგურირებული. პროტოკოლი, სერტიფიკატების მართვა, მოწყობილობის კონტროლი და აღდგენა განსაზღვრავს არჩევანს.
აპი და ჩაშენებული კლიენტი სხვადასხვა დონეზე არიან
Apple-ის ჩაშენებული VPN კლიენტი პრაქტიკაში IKEv2 კლიენტია. ხელით ფორმა ჯერ კიდევ ჩამოთვლის მოძველებულ L2TP IPsec-ზე და Cisco IPsec ვარიანტებს, მაგრამ პროვაიდერის ტრანსპორტის ველი არ არსებობს და OpenVPN ან WireGuard კონფიგურაციის ჩასმის ადგილი არ არის. ან ავსებთ ფორმას პარამეტრები > ზოგადი > VPN & მოწყობილობის მართვა-ში, ან შემოიტანთ პროფილს VPN დატვირთვით; ზედაპირია სერვერის მისამართი, ორი იდენტობა, აუთენტიფიკაციის მეთოდი და არასავალდებულო მოთხოვნის წესები.
პროვაიდერის აპი ერთი დონით ზემოთ მუშაობს. ის აწვდის Network Extension პაკეტური გვირაბის პროვაიდერს, ამიტომ პროტოკოლის კოდი და მარშრუტიზაციის ლოგიკა აპში ცხოვრობს და iOS მხოლოდ პაკეტებს გადასცემს. ზოგი აპი ახორციელებს WireGuard-ს ან OpenVPN-ს, სხვები საკუთარ შენიღბულ ტრანსპორტს, და რამდენიმე მხოლოდ IKEv2 პროფილს აყენებს და ჩაშენებულ კლიენტს ლამაზი ეკრანის მიღმა მართავს. სწორედ ამ უკანასკნელი ჯგუფის გამო აპი თუ პროფილი ზოგჯერ ცრუ არჩევანია.
შედეგი პრაქტიკულია: .ovpn ან WireGuard ფაილი ამ ველებს არ ცვლის, რადგან ხელის ჩამორთმევა სხვა პროტოკოლია.
წაიკითხეთ დატვირთვა, სანამ ფუნქციებს შეადარებთ
როცა პროფილი IKEv2-ია, დატვირთვის გასაღებები უფრო მეტ წარუმატებლობას ხსნის, ვიდრე ნებისმიერი ფუნქციათა შედარება. Apple-ის IKEv2 პარამეტრების ცნობარი აღწერს თითოეულ გასაღებს; შემოკლებული დატვირთვა ასე გამოიყურება:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>სამი ველი ატარებს დიაგნოსტიკური წონის უმეტეს ნაწილს. RemoteIdentifier არის სახელი, რომელსაც კლიენტი სერვერისგან ელის, ამიტომ NAT-ის უკან მყოფი კარიბჭე ან ბალანსირებელი, რომლის სერტიფიკატიც აუზს ასახელებს და არა მისამართს, მარცხდება მაშინაც, როცა მისამართი სწორია. LocalIdentifier არის იდენტობა, რომლადაც სერვერი თვლის თქვენ, და სერტიფიკატით აუთენტიფიკაციისას ის უნდა შეესაბამებოდეს თქვენს ანგარიშზე მიბმულ იდენტობას. ServerCertificateIssuerCommonName ამაგრებს გამცემ CA-ს, ამიტომ პროფილი შეიძლება ჩავარდეს სერტიფიკატის ხელახალი გაცემის დღეს, და არც ერთი შეცდომის შეტყობინება სერტიფიკატებს არ ახსენებს.
თუ AuthenticationMethod უდრის SharedSecret-ს, სერვერი ასრულებს EAP მომხმარებლის აუთენტიფიკაციას და მიღებული საიდუმლო რეალურად ანგარიშის სერტიფიკატია. ეს მნიშვნელოვანია, როცა პროვაიდერი აგზავნის ორ დოკუმენტს, ერთს მომხმარებლის სახელისა და პაროლისთვის და მეორეს სერტიფიკატისთვის, და მხოლოდ ერთი ემთხვევა იმას, რაც შემოიტანეთ.
რა შეუძლია აპს და რა არა ჩაშენებულ კლიენტს
პროტოკოლის არჩევანი აშკარა უპირატესობაა. თუ თქვენი სერვერი WireGuard-ს ან OpenVPN-ს ლაპარაკობს, აპი ერთადერთი iOS კლიენტია, რომელსაც ამის გამოყენება შეუძლია, და ჩაშენებული ფორმის რედაქტირება ამას არ მოაწესრიგებს. აპს ასევე შეუძლია გაყოფილი გვირაბის დანერგვა დანიშნულების ან აპის მიხედვით, საკუთარი DNS დამუშავება, kill switch-ის სტილის ბლოკირება, სერვერის არჩევა და საკუთარ ქსელზე მორგებული ხელახალი დაკავშირება.
ფასია პროგრამა, რომელიც არ შეგიმოწმებიათ და მუშაობს ქსელური გაფართოების უფლებებით. ხარისხი უფრო მეტად იცვლება, ვიდრე მაღაზიის ბარათები გვაფიქრებინებს: ერთი აპი სუფთად უერთდება ხელახლა, სხვა კი ქსელის შეცვლის შემდეგ რამდენიმე წამს ჟონავს, და აპში არსებული kill switch ამ აპის ფუნქციაა, არა iOS-ის. მართულ მოწყობილობაზე ჯერ დამტკიცებული სია შეამოწმეთ.
რას აკეთებს ჩაშენებული IKEv2 პროფილი სწორად
ნაკლები მოძრავი ნაწილი — მთელი არგუმენტი. IKEv2 კლიენტი და მისი IPsec სტეკი ოპერაციულ სისტემას მოჰყვება, ამიტომ არ არსებობს გაფართოება, რომელიც შეიძლება ჩამოვარდეს, არც პროცესი თითო აპზე, რომელიც ცოცხლად უნდა შენარჩუნდეს, და არც მესამე მხარის განახლების ციკლი თქვენსა და მომუშავე გვირაბს შორის. პროფილის ჩაკეტვაც შეიძლება: ზედამხედველობის ქვეშ მყოფ მოწყობილობაზე მომხმარებელს არ შეუძლია წაშალოს ის, რაც მართვამ დააყენა, და Always On VPN, რომელიც ნებისმიერ ქსელში ხელახლა უკავშირდება მომხმარებლის გადამრთველის გარეშე, მხოლოდ ამ ზედამხედველურ, პროფილით მართულ ფორმაში არსებობს.
რასაც ჩაშენებული გზა არ გაძლევთ, მოქნილობაა. არ არის VPN თითო აპზე მართული აპების გარეშე, არ არის მომხმარებლისთვის kill switch და არ არის ტრანსპორტი, რომელიც IPsec-ის დამბლოკავ ქსელში HTTPS-ს დაემსგავსებოდა. სასტუმრო ქსელებში, რომლებიც UDP 500-სა და 4500-ს ყრიან, ჩაშენებულ IKEv2-ს სარეზერვო გზა არ აქვს.
გადაწყვეტილების ცხრილი, რომელიც შემთხვევათა უმეტესობას წყვეტს
პრაქტიკაში პროტოკოლის კითხვა შემთხვევათა უმეტესობას წყვეტს მანამ, სანამ ფუნქციები მნიშვნელოვანი გახდება.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
ორი სტრიქონი მეორე შეხედვას იმსახურებს. პირად ტელეფონზე თითო აპის მოთხოვნა ის შემთხვევაა, რომელსაც ხალხი არასწორად კითხულობს: პარამეტრი iOS-ში არსებობს, მაგრამ მართვა მართავს, ამიტომ არამართული მოწყობილობა მას არ შემოგთავაზებთ. დაბლოკილი ქსელი IKEv2-ისადმი უნდობლობის მიზეზი არ არის; ეს არის მიზეზი, რის გამოც პროვაიდერის აპი არსებობს.
შეამოწმეთ არჩევანი ერთი ტესტით
შეამოწმეთ მარცხის რეჟიმები, არა დაკავშირების ღილაკი. დაუკავშირდით ერთხელ, დარწმუნდით, რომ VPN ინდიკატორი გამოჩნდა, შემდეგ გახსენით გვერდი, რომელიც თქვენს საჯარო მისამართს აბრუნებს, და შეადარეთ წინას. გადადით Wi-Fi-დან მობილურ მონაცემებზე VPN-ის შეხების გარეშე და დააკვირდით ხელახალ დაკავშირებას, შემდეგ ტელეფონი თვითმფრინავის რეჟიმში გაატარეთ. გადატვირთეთ და ნახეთ, დაბრუნდება თუ არა გვირაბი თავისით: OnDemandEnabled-ის მქონე პროფილი უნდა დაბრუნდეს, ბევრი აპი კი ჯერ უნდა გაიხსნას.
როცა არ ბრუნდება, გაყავით მარცხი იმის მიხედვით, საერთოდ არსებობს თუ არა გვირაბი. VPN ინდიკატორის არარსებობა ნიშნავს, რომ გვირაბი არასდროს ამოდგა: ან ხელის ჩამორთმევა ჩავარდა RemoteIdentifier-ზე, დამაგრებულ CA-ზე ან სერტიფიკატზე, ან კავშირი არასდროს სცადეს, რადგან მოთხოვნის წესი არ დაემთხვა და არც ერთმა აპმა არ დაიწყო ის. ინდიკატორი წარუმატებელ ტრაფიკთან ნიშნავს მარშრუტიზაციას, DNS-ს ან სერვერის მხარის პოლიტიკას, და კლიენტის ხელახალი ინსტალაცია არაფერს ეხება აქედან.
მოკლე სია, რომ მოწყობილობა შემდეგი ადამიანისთვის გასაგები იყოს:
- ერთი VPN ჩანაწერი, არა ორი;
- პროფილი ან აპი დასახელებული სერვერის მიხედვით, რომელსაც უკავშირდება;
- იდენტობის მნიშვნელობები ჩაწერილი იქ, სადაც იპოვით.
დაიწყეთ ცხრილში პროტოკოლის სტრიქონიდან და გაჩერდით იქ, თუ ის კითხვას პასუხობს.