VPN-App oder agebaute IKEv2 op iPhone: wéi auswielen
Eng iPhone-VPN-App an den agebaute IKEv2-Client léisen ënnerschiddlech Problemer. Vergläicht als éischt d’Protokollënnerstëtzung, d’Authentifizéierung, d’Apparatkontroll an d’Erhuelung.
Lescht Woch huet mir e Kolleg säin iPhone ginn, mat zwou VPN-Andräg an den Astellungen: eng vun enger Anbieter-App hannerlooss, déi aner aus engem IKEv2-Profil, deen aus enger Support-Säit ageklemmt gouf. Dat sinn net konkurréierend Versioune vun der selwechter Saach. Eng Anbieter-App ass e Behälter, deen säin eegenen Tunnelcode ka droen, während den agebaute Client vun Apple en IKEv2-Client ass, deen vun Hand oder iwwer e Profil konfiguréiert gëtt. Protokoll, Ëmgang mat Umeldungsdaten, Apparatkontroll an Erhuelung bestëmmen d’Auswiel.
D’App an den agebaute Client leien op verschiddenen Niveauen
Den agebaute VPN-Client vun Apple ass an der Praxis en IKEv2-Client. D’manuell Form lëscht nach de verouderte L2TP iwwer IPsec an d’Cisco IPsec-Optiounen, awer et gëtt kee Feld fir den Transport vum Anbieter an och keng Plaz, wou een eng OpenVPN- oder WireGuard-Konfiguratioun kéint ageklemmt. Dir fëllt entweder eng Form ënner Astellungen > Allgemeng > VPN & Apparatverwaltung aus oder importéiert e Profil mat enger VPN-Laascht; d’Uewerfläch ass eng Serveradress, zwou Identitéiten, eng Authentifizéierungsmethod an optional Regele bei Ufro.
Eng Anbieter-App schafft een Niveau méi héich. Si liwwert en Network Extension-Pakettunnel-Anbieter, sou datt de Protokollcode an d’Routinglogik an der App liewen an iOS just Paketter duerchléisst. Verschidden Apps implementéieren WireGuard oder OpenVPN, anerer hire eegene verschleierten Transport, a puer installéieren nëmmen en IKEv2-Profil an dréien den agebaute Client hannert engem méi schéinen Ecran. Déi lescht Grupp ass de Grond, firwat App géint Profil heiansdo eng falsch Wiel ass.
D’Konsequenz ass praktesch: eng .ovpn- oder WireGuard-Datei ersetzt déi Felder net, well den Handshake en anere Protokoll ass.
Liest d’Laascht, ier Dir Funktiounen vergläicht
Wann de Profil IKEv2 ass, erklären d’Schlësselen vun der Laascht méi Feeler wéi all Funktiounsvergläich. Dem Apple seng Referenz vun den IKEv2-Astellunge dokumentéiert all Schlëssel; eng ofgekierzt Laascht gesäit esou aus:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Dräi Felder droen de gréissten Deel vum diagnostesche Gewiicht. RemoteIdentifier ass den Numm, deen de Client vum Server erwaart, dofir schléit en Gateway hannert NAT oder en Laaschtverdeeler, deem säin Zertifikat de Pool amplaz vun der Adress nennt, fehl, obwuel d’Adress richteg ass. LocalIdentifier ass d’Identitéit, déi de Server mengt, datt Dir sidd, an bei Zertifikatsauthentifizéierung muss se mat der Identitéit iwwereneestëmmen, déi mat Ärem Kont verbonnen ass. ServerCertificateIssuerCommonName penn den ausstellende CA fest, dofir kann e Profil um Dag fehlschloen, op deem den Zertifikat nei ausgestallt gëtt, ouni datt eng Fehlermeldung Zertifikater ernimmt.
Wann AuthenticationMethod gläich wéi SharedSecret ass, mécht de Server EAP-Benotzerauthentifizéierung an dat Geheimnis, dat Dir kritt hutt, ass eigentlech en Kontumeldungsdatum. Dat zielt, wann en Anbieter zwee Dokumenter schéckt, eent fir Benotzernumm a Passwuert an eent fir en Zertifikat, an nëmmen eent mat deem iwwereneestëmmt, wat Dir importéiert hutt.
Wat d’App ka maachen an den agebaute Client net
D’Protokollswiel ass den offensichtlechen Avantage. Wann Äre Server WireGuard oder OpenVPN schwätzt, ass d’App deen eenzegen iOS-Client, deen en benotze kann, an d’manuell Form z’änneren wäert dat net verhandelen. Eng App kann och en opgedeilten Tunnel no Destinatioun oder App, hir eege DNS-Behandlung, eng Blockade am Stil vun engem Kill Switch, d’Serverwiel an eng Reconnexion ëmsetzen, déi op hiren eegene Reseau ofgestëmmt ass.
De Präis ass Software, déi Dir net auditéiert hutt a mat de Rechter vun enger Netzwierkerweiderung leeft. D’Qualitéit variéiert méi, wéi d’Buttekskarten uginn: eng App verbënnt sech propper erëm, während eng aner no engem Netzwierkwiessel e puer Sekonnen leckt, an e Kill Switch an der App ass eng Funktioun vun där App, net vun iOS. Op engem verwalteten Apparat kuckt als éischt d’genehmegt Lëscht un.
Wat den agebaute IKEv2-Profil richteg mécht
Manner beweeglech Deeler ass dat ganzt Argument. Den IKEv2-Client an säi IPsec-Stack kommen mam Betribssystem, dofir gëtt et keng Erweiderung, déi ka falen, kee Prozess pro App, dee misst lieweg gehal ginn, an keen Drëttpartei-Updatezyklus tëscht Iech an engem funktionéierenden Tunnel. E Profil kann och gespaart ginn: op engem iwwerwaachten Apparat kann de Benotzer net ewechhuelen, wat d’Verwaltung installéiert huet, an Always On VPN, deen op all Netzwierk erëm verbënnt ouni Benotzerschalter, existéiert nëmmen an där iwwerwaachter, profilverwalteter Form.
Wat den agebaute Wee net gëtt, ass Flexibilitéit. Et gëtt keen VPN pro App ouni verwalt Apps, kee Kill Switch fir de Benotzer an keen Transport, deen op engem Netzwierk, dat IPsec blockéiert, wéi HTTPS ausgesäit. An Hotellnetzwierker, déi UDP 500 an 4500 fale loossen, huet den agebaute IKEv2 keen Ersatzwee.
Eng Entscheedungstabell, déi déi meescht Fäll kläert
An der Praxis entscheet d’Protokollsfro déi meescht Fäll, ier Funktiounen zielen.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Zwou Zeilen verdéngen en zweeten Bléck. D’Fuerderung pro App op engem perséinlechen Telefon ass de Fall, deen d’Leit falsch liesen: d’Astellung existéiert an iOS, gëtt awer vun der Verwaltung gedriwwen, dofir wäert en net-verwalteten Apparat se net ubidden. En blockéierten Netzwierk ass kee Grond, IKEv2 ze misstrauen; et ass de Grond, firwat d’App vum Anbieter existéiert.
Verifizéiert d’Wiel mat engem Test
Test d’Feelermodusen, net de Verbindungsknäppchen. Verbënnt Iech eemol, bestätegt, datt den VPN-Indikator erschéint, an dann öffnet eng Säit, déi Är ëffentlech Adress zréckschéckt, a vergläicht se mat der viregter. Wiesselt vum Wi-Fi op mobil Daten, ouni den VPN ze beréieren, a beobachtet eng Reconnexion, duerno féiert den Telefon duerch de Fluchmodus. Startt nei a kuckt, ob den Tunnel vu selwer zréckkënnt: e Profil mat OnDemandEnabled sollt, während vill Apps fir d’éischt missen opgemaach ginn.
Wann en net zréckkënnt, deelt de Feeler no deem, ob iwwerhaapt en Tunnel existéiert. Kee VPN-Indikator bedeit, datt den Tunnel ni opkomm ass: entweder ass den Handshake bei RemoteIdentifier, beim festgepente CA oder bei enger Umeldung feelgeschloen, oder d’Verbindung gouf ni versicht, well d’Regel bei Ufro net gepasst huet an keng App se gestart huet. En Indikator mat fehlendem Trafic bedeit Routing, DNS oder Politik op der Serversäit, an de Client nei z’installéieren beréiert näischt vun deem.
Eng kort Lëscht, fir den Apparat fir déi nächst Persoun erkläerbar ze halen:
- een VPN-Andrag, net zwee;
- de Profil oder d’App nom Server benannt, mat deem en sech verbënnt;
- d’Identitéitswäerter opgeschriwwen, wou Dir se fannt.
Fänkt mat der Protokollszeil an der Tabell un, a stoppt do, wann se d’Fro beäntwert.