iPhone의 VPN 앱과 내장 IKEv2: 무엇을 고를까
iPhone VPN 앱과 내장 IKEv2 클라이언트는 서로 다른 문제를 해결합니다. 먼저 프로토콜 지원, 인증, 기기 제어, 복구를 비교하세요.
지난주 한 동료가 설정에 VPN 항목이 두 개 있는 iPhone을 건넸는데, 하나는 제공업체 앱이 남긴 것이고 다른 하나는 지원 페이지에서 붙여 넣은 IKEv2 프로파일에서 나온 것이었습니다. 두 가지는 같은 것의 경쟁 버전이 아닙니다. 제공업체 앱은 자체 터널 코드를 담을 수 있는 컨테이너이고, Apple의 내장 클라이언트는 수동 또는 프로파일로 구성하는 IKEv2 클라이언트입니다. 프로토콜, 자격 증명 처리, 기기 제어, 복구가 선택을 결정합니다.
앱과 내장 클라이언트는 서로 다른 계층에 있습니다
Apple의 내장 VPN 클라이언트는 실제로 IKEv2 클라이언트입니다. 수동 양식은 여전히 사용 중단된 IPsec 기반 L2TP 와 Cisco IPsec 옵션을 나열하지만 공급자 전송 필드도, OpenVPN이나 WireGuard 구성을 붙여 넣을 곳도 없습니다. 설정 > 일반 > VPN & 기기 관리를 입력하거나 VPN 페이로드가 있는 프로파일을 가져오면 되며, 표면은 서버 주소, 두 개의 ID, 인증 방법, 선택적 요청 시 규칙입니다.
제공업체 앱은 한 계층 위에서 동작합니다. Network Extension 패킷 터널 제공자를 포함하므로 프로토콜 코드와 라우팅 로직이 앱에 있고 iOS는 패킷만 전달합니다. 일부 앱은 WireGuard나 OpenVPN을 구현하고, 일부는 자체 난독화 전송을, 몇몇은 IKEv2 프로파일만 설치하고 더 예쁜 화면 뒤에서 내장 클라이언트를 조작합니다. 마지막 그룹 때문에 앱과 프로파일의 선택이 때로는 거짓 선택이 됩니다.
결과는 실용적입니다. .ovpn 또는 WireGuard 파일은 그 필드를 대체하지 않습니다. 핸드셰이크가 다른 프로토콜이기 때문입니다.
기능을 비교하기 전에 페이로드를 읽으세요
프로파일이 IKEv2이면 페이로드 키가 어떤 기능 비교보다 많은 장애를 설명합니다. Apple의 IKEv2 설정 참조 는 각 키를 문서화합니다. 축약한 페이로드는 다음과 같습니다:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>세 필드가 진단 무게의 대부분을 차지합니다. RemoteIdentifier는 클라이언트가 서버가 제시하리라 기대하는 이름이므로 NAT 뒤의 게이트웨이나 인증서가 주소 대신 풀을 지정하는 로드 밸런서는 주소가 맞아도 실패합니다. LocalIdentifier는 서버가 당신이라고 생각하는 ID이며, 인증서 인증에서는 계정에 매핑된 ID와 일치해야 합니다. ServerCertificateIssuerCommonName는 발급 CA를 고정하므로 인증서가 재발급되는 날 프로파일이 실패할 수 있고, 어떤 오류 메시지도 인증서를 언급하지 않습니다.
AuthenticationMethod가 SharedSecret이면 서버는 EAP 사용자 인증을 수행하고, 받은 비밀은 실제로 계정 자격 증명입니다. 제공업체가 두 문서를 보낼 때, 하나는 사용자 이름과 비밀번호용, 하나는 인증서용일 때 중요하며, 가져온 것과 맞는 것은 하나뿐입니다.
앱이 할 수 있고 내장 클라이언트가 못 하는 것
프로토콜 선택이 분명한 장점입니다. 서버가 WireGuard나 OpenVPN을 말한다면 앱이 그것을 쓸 수 있는 유일한 iOS 클라이언트이며, 내장 양식을 편집해도 협상되지 않습니다. 앱은 대상 또는 앱별 분할 터널, 자체 DNS 처리, 킬 스위치식 차단, 서버 선택, 자체 네트워크에 맞춘 재연결도 구현할 수 있습니다.
대가는 감사하지 않은 소프트웨어가 네트워크 확장의 권한으로 실행되는 것입니다. 품질 편차는 스토어 카드가 시사하는 것보다 큽니다. 한 앱은 깔끔하게 재연결되지만 다른 앱은 네트워크가 바뀐 뒤 몇 초 동안 누출되며, 앱 내부의 킬 스위치는 그 앱의 기능이지 iOS의 기능이 아닙니다. 관리되는 기기에서는 먼저 승인 목록을 확인하세요.
내장 IKEv2 프로파일이 잘하는 것
움직이는 부품이 적다는 것이 전부입니다. IKEv2 클라이언트와 IPsec 스택은 운영체제에 포함되므로 충돌할 확장도, 각 앱을 살려 둘 프로세스도, 당신과 작동하는 터널 사이의 타사 업데이트 주기도 없습니다. 프로파일은 잠글 수도 있습니다. 감독되는 기기에서는 사용자가 관리가 설치한 것을 제거할 수 없고, 사용자 스위치 없이 모든 네트워크에서 재연결되는 Always On VPN은 그 감독되고 프로파일로 관리되는 형태로만 존재합니다.
내장 경로가 주지 않는 것은 유연성입니다. 관리되는 앱 없이는 앱별 VPN이 없고, 사용자용 킬 스위치도 없고, IPsec을 차단하는 네트워크에서 HTTPS처럼 보이는 전송도 없습니다. UDP 500과 4500을 버리는 호텔 네트워크에서는 내장 IKEv2에 우회로가 없습니다.
대부분의 경우를 정리하는 결정 표
실제로 프로토콜 질문이 기능이 중요해지기 전에 대부분의 경우를 정리합니다.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
두 행은 두 번째 볼 만합니다. 개인 휴대폰의 앱별 요구는 사람들이 잘못 읽는 경우입니다. 이 설정은 iOS에 있지만 관리가 구동합니다, 그래서 관리되지 않는 기기는 제공하지 않습니다. 차단된 네트워크는 IKEv2를 불신할 이유가 아니라 제공업체 앱이 존재하는 이유입니다.
한 번의 테스트로 선택을 검증하세요
연결 버튼이 아니라 실패 모드를 시험하세요. 한 번 연결해 VPN 표시가 나타나는지 확인하고, 공인 주소를 돌려주는 페이지를 열어 이전과 비교합니다. VPN을 건드리지 않고 Wi-Fi에서 모바일 데이터로 전환해 재연결을 보고, 그다음 휴대폰을 비행기 모드로 통과시킵니다. 재부팅해 터널이 스스로 돌아오는지 보세요. OnDemandEnabled가 있는 프로파일은 돌아와야 하지만, 많은 앱은 먼저 열어야 합니다.
돌아오지 않으면 터널이 있는지 여부로 장애를 나누세요. VPN 표시가 없다는 것은 터널이 한 번도 올라가지 않았다는 뜻입니다. 핸드셰이크가 RemoteIdentifier, 고정한 CA, 자격 증명 중 하나에서 실패했거나, 요청 시 규칙이 맞지 않고 아무 앱도 시작하지 않아 연결을 시도조차 하지 않은 것입니다. 표시는 있는데 트래픽이 실패하면 라우팅, DNS, 서버 측 정책이며 클라이언트를 다시 설치해도 그중 어느 것도 건드리지 않습니다.
다음 사람에게 기기를 설명할 수 있게 남기는 짧은 목록:
- VPN 항목 하나, 둘이 아닙니다.
- 프로파일이나 앱은 연결하는 서버 이름을 따릅니다.
- ID 값은 찾을 수 있는 곳에 적어 둡니다.
표의 프로토콜 행부터 시작하고, 질문에 답한다면 거기서 멈추세요.