iPhone'догу VPN колдонмосу же курулган IKEv2: кантип тандоо керек
iPhone үчүн VPN колдонмосу жана курулган IKEv2 кардары ар кандай маселелерди чечет. Адегенде протокол колдоосун, аутентификацияны, түзмөктү көзөмөлдөөнү жана калыбына келтирүүнү салыштырыңыз.
Өткөн жумада кесиптешим мага өзүнүн iPhone'ун сунуп берди, «Жөндөөлөрдө» эки VPN жазуусу бар эле: бирин провайдердин колдонмосу калтырган, экинчисин колдоо баракчасынан коюлган IKEv2 профилинен. Бул бир эле нерсенин атаандаш версиялары эмес. Провайдердин колдонмосу — өз туннель кодун алып жүрө алган контейнер, ал эми Apple'дын курулган кардары — кол менен же профиль менен конфигурацияланган IKEv2 кардары. Протокол, эсептик маалыматтарды кармоо, түзмөктү көзөмөлдөө жана калыбына келтирүү тандоону аныктайт.
Колдонмо менен курулган кардар ар кандай катмарда
Apple'дын курулган VPN кардары иш жүзүндө IKEv2 кардары. Кол менен толтурулуучу форма азыр да эскирген IPsec үстүндөгү L2TP жана Cisco IPsec параметрлерин көрсөтөт, бирок провайдер транспорту үчүн талаа да, OpenVPN же WireGuard конфигурациясын коюуга орун да жок. Сиз «Жөндөөлөр > Жалпы > VPN & Түзмөктү башкаруу» бөлүмүндө форманы толтурасыз же VPN жүктөмү бар профилди импорттойсуз; бетиңде сервер дареги, эки идентификация, аутентификация ыкмасы жана милдеттүү эмес суроо боюнча эрежелер бар.
Провайдердин колдонмосу бир катмар жогору иштейт. Ал Network Extension пакеттик туннель провайдерин жеткирет, ошондуктан протокол коду жана маршруттоо логикасы колдонмодо жашайт, ал эми iOS пакеттерди гана өткөрөт. Кээ бир колдонмолор WireGuard же OpenVPNди ишке ашырат, башкалары өздөрүнүн жашырылган транспортун, ал эми аздагандары гана IKEv2 профилин орнотуп, курулган кардарды коозураак экрандын артынан башкарат. Ушул акыркы топтун айынан «колдонмо же профиль» тандоосу кээде жалган болот.
Натыйжа практикалык: .ovpn же WireGuard файлы бул талааларды алмаштырбайт, себеби кол алышуу — башка протокол.
Функцияларды салыштырганга чейин жүктөмдү окуңуз
Профиль IKEv2 болгондо, жүктөм ачкычтары кандай гана функция салыштыруусунан да көбүрөөк бузулушту түшүндүрөт. Apple'дын IKEv2 жөндөөлөрүнүн маалымдамасы ар бир ачкычты сүрөттөйт; кыскартылган жүктөм мындай көрүнөт:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Үч талаа диагностикалык салмактын көп бөлүгүн көтөрөт. RemoteIdentifier — кардар серверден күткөн ат, ошондуктан NAT артындагы шлюз же сертификаты даректин ордуна пулду атаган теңгергич дарек туура болсо да ийгиликсиз болот. LocalIdentifier — сервер сизди деп эсептеген идентификация, жана сертификат менен аутентификацияда ал эсебиңизге байланган идентификацияга туура келиши керек. ServerCertificateIssuerCommonName чыгаруучу CAны бекитет, ошондуктан профиль сертификат кайра чыгарылган күнү ийгиликсиз болушу мүмкүн, бирок ката тууралуу эч бир билдирүү сертификаттарды эске салбайт.
Эгер AuthenticationMethod SharedSecret болсо, сервер EAP колдонуучу аутентификациясын аткарат, ал эми сиз алган сыр чындыгында эсептик маалымат. Бул провайдер эки документ жөнөткөндө маанилүү: бири колдонуучу аты менен сырсөз үчүн, экинчиси сертификат үчүн, жана экөөнүн бири гана импорттогонуңузга туура келет.
Колдонмо эмне кыла алат, ал эми курулган кардар кыла албайт
Протокол тандоо — айкын артыкчылык. Эгер сервериңиз WireGuard же OpenVPN тилинде сүйлөсө, колдонмо — аны колдоно алган жалгыз iOS кардары, жана курулган форманы оңдоо аны сүйлөшпөйт. Колдонмо ошондой эле багыт же колдонмо боюнча бөлүнгөн туннелди, өз DNS иштетүүсүн, kill switch стилиндеги блоктоону, сервер тандоону жана өз тармагына ылайыкталган кайра туташууну ишке ашыра алат.
Баасы — сиз текшербеген программалык камсыздоо, ал тармактык кеңейтүү укуктары менен иштейт. Сапат дүкөн карточкалары болжолдогондон да көбүрөөк өзгөрөт: бир колдонмо таза кайра туташат, экинчиси тармак алмашкандан кийин бир нече секунд агып кетет, ал эми колдонмо ичиндеги kill switch — ошол колдонмонун функциясы, iOSдуку эмес. Башкарылуучу түзмөктө адегенде бекитилген тизмени текшериңиз.
Курулган IKEv2 профили эмнени туура кылат
Кыймылдуу бөлүктөрдүн азыраак болушу — бүт далил. IKEv2 кардары жана анын IPsec стеги система менен келет, ошондуктан кулай алган кеңейтүү да, ар бир колдонмо үчүн тирүү кармоо керек болгон процесс да, сиз менен иштеп жаткан туннель ортосунда үчүнчү тараптын жаңыртуу цикли да жок. Профилди кулпулоого да болот: көзөмөлдөнгөн түзмөктө колдонуучу башкаруу орноткон нерсени алып сала албайт, ал эми колдонуучунун которгучусуз каалаган тармакта кайра туташкан Always On VPN ушундай көзөмөлдөнгөн, профиль менен башкарылган формада гана бар.
Курулган жол бербегени — ийкемдүүлүк. Башкарылуучу колдонмолорсуз колдонмого жеке VPN жок, колдонуучу үчүн kill switch жок жана IPsecти блоктогон тармакта HTTPS сыяктуу көрүнгөн транспорт жок. UDP 500 жана 4500ди таштаган мейманкана тармактарында курулган IKEv2нин кошумча жолу жок.
Көпчүлүк учурду чечкен чечим таблицасы
Иш жүзүндө протокол тууралуу суроо функциялар маанилүү боло электе эле көпчүлүк учурду чечет.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Эки сап экинчи көз карашка татыктуу. Жеке телефондогу колдонмого жеке талап — адамдар туура эмес окуган учур: параметр iOS'до бар, бирок аны башкаруу системасы башкарат, ошондуктан башкарылбаган түзмөк аны сунуштабайт. Блоктолгон тармак IKEv2ге ишенбөөгө себеп эмес; бул провайдердин колдонмосу бар болушунун себеби.
Тандоону бир тест менен текшериңиз
Туташуу баскычын эмес, бузулуу режимдерин текшериңиз. Бир жолу туташыңыз, VPN индикатору пайда болгонуна ынаныңыз, андан кийин коомдук дарегиңизди кайтарган баракчаны ачып, мурункусу менен салыштырыңыз. VPNге тийбей Wi-Fi'ден уюлдук маалыматка өтүп, кайра туташууну байкаңыз, анан телефонду учуу режиминен өткөрүңүз. Кайра жүктөп, туннель өзү кайтабы, көрүңүз: OnDemandEnabled бар профиль кайтышы керек, ал эми көп колдонмону адегенде ачуу керек.
Эгер ал кайтпаса, бузулушту туннелдин бар-жоктугу боюнча бөлүңүз. VPN индикатору жок болсо, туннель эч качан көтөрүлгөн эмес: же кол алышуу RemoteIdentifier, бекитилген CA же эсептик маалыматта ийгиликсиз болду, же туташууга такыр аракет жасалган жок, себеби суроо боюнча эреже туура келбеди жана эч бир колдонмо аны баштаган жок. Индикатор бар, бирок трафик ийгиликсиз болсо — маршруттоо, DNS же сервер тараптагы саясат, ал эми кардарды кайра орнотуу мунун эч бирине тийбейт.
Түзмөктү кийинки адамга түшүнүктүү кылуу үчүн кыска тизме:
- бир VPN жазуусу, эки эмес;
- профиль же колдонмо туташкан сервердин аты менен аталган;
- идентификация маанилери таба ала турган жериңизге жазылган.
Таблицадагы протокол сабынан баштаңыз, эгер ал суроого жооп берсе, ошондо токтоңуз.