iPhone-дағы VPN қолданбасы немесе кірістірілген IKEv2: қалай таңдау керек
iPhone-ға арналған VPN қолданбасы мен кірістірілген IKEv2 клиенті әртүрлі мәселелерді шешеді. Алдымен протокол қолдауын, аутентификацияны, құрылғыны бақылауды және қалпына келтіруді салыстырыңыз.
Өткен аптада әріптесім маған өзінің iPhone-ын ұсынды, «Параметрлерде» екі VPN жазбасы бар еді: біреуін провайдер қолданбасы қалдырған, екіншісі қолдау бетінен қойылған IKEv2 профилінен. Бұлар бір нәрсенің бәсекелес нұсқалары емес. Провайдер қолданбасы — өз туннель кодын алып жүре алатын контейнер, ал Apple-дың кірістірілген клиенті — қолмен немесе профильмен конфигурацияланатын IKEv2 клиенті. Протокол, тіркелгі деректерін ұстау, құрылғыны бақылау және қалпына келтіру таңдауды анықтайды.
Қолданба мен кірістірілген клиент әртүрлі деңгейде
Apple-дың кірістірілген VPN клиенті іс жүзінде IKEv2 клиенті. Қолмен толтырылатын нысан әлі де ескірген IPsec үстіндегі L2TP және Cisco IPsec опцияларын көрсетеді, бірақ провайдер транспорты үшін өріс те, OpenVPN немесе WireGuard конфигурациясын қоюға орын да жоқ. Сіз «Параметрлер > Жалпы > VPN & Құрылғыны басқару» бөлімінде нысанды толтырасыз немесе VPN жүктемесі бар профильді импорттайсыз; бетінде сервер мекенжайы, екі сәйкестік, аутентификация әдісі және қосымша сұраныс бойынша ережелер бар.
Провайдер қолданбасы бір деңгей жоғары жұмыс істейді. Ол Network Extension пакеттік туннель провайдерін жеткізеді, сондықтан протокол коды мен маршруттау логикасы қолданбада тұрады, ал iOS тек пакеттерді өткізеді. Кейбір қолданбалар WireGuard немесе OpenVPN іске асырады, басқалары өздерінің бүркемеленген транспортын, ал аздаған қолданбалар тек IKEv2 профилін орнатып, кірістірілген клиентті әдемірек экранның артынан басқарады. Осы соңғы топқа байланысты «қолданба немесе профиль» таңдауы кейде жалған болады.
Салдары практикалық: .ovpn немесе WireGuard файлы бұл өрістерді алмастырмайды, өйткені қол алысу — басқа протокол.
Функцияларды салыстырмас бұрын жүктемені оқыңыз
Профиль IKEv2 болғанда, жүктеме кілттері кез келген функция салыстыруынан гөрі көбірек ақаулықты түсіндіреді. Apple-дың IKEv2 параметрлері анықтамасы әрбір кілтті сипаттайды; қысқартылған жүктеме былай көрінеді:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Үш өріс диагностикалық салмақтың көп бөлігін көтереді. RemoteIdentifier — клиент серверден күтетін атау, сондықтан NAT артындағы шлюз немесе сертификаты мекенжайдың орнына пулды атайтын теңгеруші мекенжай дұрыс болса да сәтсіздікке ұшырайды. LocalIdentifier — сервер сізді деп есептейтін сәйкестік, және сертификатпен аутентификация кезінде ол тіркелгіңізге байланған сәйкестікке сай болуы керек. ServerCertificateIssuerCommonName шығарушы CA-ны бекітеді, сондықтан профиль сертификат қайта шығарылған күні сәтсіздікке ұшырауы мүмкін, бірақ қате туралы ешбір хабарлама сертификаттарды атамайды.
Егер AuthenticationMethod SharedSecret болса, сервер EAP пайдаланушы аутентификациясын орындайды, ал сіз алған құпия шын мәнінде тіркелгі деректері. Бұл провайдер екі құжат жібергенде маңызды: біреуі пайдаланушы аты мен құпия сөзі үшін, екіншісі сертификат үшін, және тек біреуі импорттағаныңызға сәйкес келеді.
Қолданба не істей алады, ал кірістірілген клиент істей алмайды
Протокол таңдауы — айқын артықшылық. Егер серверіңіз WireGuard немесе OpenVPN тілінде сөйлесе, қолданба — оны пайдалана алатын жалғыз iOS клиенті, ал кірістірілген нысанды өңдеу оны келіспейді. Қолданба сондай-ақ тағайындалу немесе қолданба бойынша бөлінген туннельді, өз DNS өңдеуін, kill switch үлгісіндегі блоктауды, сервер таңдауын және өз желісіне бейімделген қайта қосылуды іске асыра алады.
Бағасы — сіз тексермеген бағдарламалық жасақтама, ол желілік кеңейту құқықтарымен жұмыс істейді. Сапа дүкен карточкалары болжағаннан да көбірек өзгереді: бір қолданба таза қайта қосылады, екіншісі желі ауысқаннан кейін бірнеше секунд ағып кетеді, ал қолданба ішіндегі kill switch — сол қолданбаның функциясы, iOS-тікі емес. Басқарылатын құрылғыда алдымен мақұлданған тізімді тексеріңіз.
Кірістірілген IKEv2 профилі нені дұрыс істейді
Қозғалмалы бөлшектердің азырақ болуы — бүкіл дәлел. IKEv2 клиенті мен оның IPsec стекі жүйемен бірге келеді, сондықтан құлай алатын кеңейту де, әр қолданба үшін тірі ұстау керек процесс те, сіз бен жұмыс істеп тұрған туннель арасында үшінші тараптың жаңарту циклі де жоқ. Профильді құлыптауға да болады: бақыланатын құрылғыда пайдаланушы басқару орнатқан нәрсені жоя алмайды, ал пайдаланушы қосқышынсыз кез келген желіде қайта қосылатын Always On VPN тек осы бақыланатын, профильмен басқарылатын нысанда ғана бар.
Кірістірілген жол бермейтіні — икемділік. Басқарылатын қолданбаларсыз қолданбаға жеке VPN жоқ, пайдаланушыға арналған kill switch жоқ және IPsec-ті блоктайтын желіде HTTPS сияқты көрінетін транспорт жоқ. UDP 500 мен 4500-ді тастайтын қонақүй желілерінде кірістірілген IKEv2-нің қосалқы жолы жоқ.
Көптеген жағдайды шешетін шешім кестесі
Іс жүзінде протокол туралы сұрақ функциялар маңызды болмай тұрып жағдайлардың көбін шешеді.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Екі жол екінші көзқарасқа лайық. Жеке телефондағы қолданбаға жеке талап — адамдар дұрыс оқымайтын жағдай: параметр iOS-те бар, бірақ оны басқару жүйесі басқарады, сондықтан басқарылмайтын құрылғы оны ұсынбайды. Блокталған желі IKEv2-ге сенбеуге себеп емес; бұл провайдер қолданбасының бар болу себебі.
Таңдауды бір тестімен тексеріңіз
Қосылу түймесін емес, ақаулық режимдерін тексеріңіз. Бір рет қосылыңыз, VPN индикаторы пайда болғанына көз жеткізіңіз, содан кейін жалпыға қолжетімді мекенжайыңызды қайтаратын бетті ашып, алдыңғысымен салыстырыңыз. VPN-ге тимей Wi-Fi-дан ұялы деректерге ауысып, қайта қосылуды бақылаңыз, сосын телефонды ұшу режимінен өткізіңіз. Қайта жүктеп, туннель өзі қайта ма, көріңіз: OnDemandEnabled бар профиль қайтуы керек, ал көптеген қолданбаны алдымен ашу керек.
Егер ол қайтпаса, ақаулықты туннельдің бар-жоғына қарай бөліңіз. VPN индикаторы жоқ болса, туннель ешқашан көтерілмеген: не қол алысу RemoteIdentifier, бекітілген CA немесе тіркелгі деректерінде сәтсіз аяқталды, не қосылуға мүлдем әрекет жасалмады, өйткені сұраныс бойынша ереже сәйкес келмеді және ешбір қолданба оны бастамады. Индикатор бар, бірақ трафик сәтсіз болса — маршруттау, DNS немесе сервер жағындағы саясат, ал клиентті қайта орнату мұның ешқайсысына қатыспайды.
Құрылғыны келесі адамға түсінікті етуге арналған қысқа тізім:
- бір VPN жазбасы, екі емес;
- профиль немесе қолданба қосылатын сервердің атымен аталған;
- сәйкестік мәндері таба алатын жеріңізге жазылған.
Кестедегі протокол жолынан бастаңыз, егер ол сұраққа жауап берсе, сонда тоқтаңыз.