Asmeninis VPN ar paketinis tunelis: du iPhone VPN modeliai
Vienas modelis sukonfigūruoja integruotą iOS IPsec arba IKEv2; kitas pateikia teikėją, įgyvendinantį savo protokolą. Produkto pavadinimas nesako, kurį gavote.
Dvi iPhone programos gali abi įrašyti VPN elementą Nustatymuose, abi vadintis VPN klientais ir beveik nesidalyti jokia implementacija. „Apple“ vieną iš šių integracijų vadina asmeniniu VPN, ir būtent šis pavadinimas sukelia didžiąją dalį painiavos. Asmeninis VPN yra API, skirta kurti ir tvarkyti konfigūracijas, kurios naudoja integruotą IPsec arba IKEv2 implementaciją. Paketinio tunelio teikėjas yra kitas modelis: programa pateikia plėtinį, įgyvendinantį savo protokolo kliento pusę. Viskas, ką žmonės vėliau daro iš šios etiketės, nuo šifrų iki nuosavybės ir iki to, ar telefonas turi būti valdomas, yra išvada, o ne teiginys.
Kas įgyvendina tunelį
Šis padalijimas nusprendžia, kas atsakingas, kai kas nors sugenda. Su integruotu IPsec arba IKEv2 tunelio būsenos mašiną valdo iOS, o programai priklauso konfigūracija ir mygtukai. Su teikėju programai priklauso abu, todėl protokolo klaida tampa programos atnaujinimu, o ne operacinės sistemos atnaujinimu.
Palyginimas trumpas, jei klausiate, kas įgyvendina protokolą.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Asmeninio VPN dokumentacija taip pat mini aiškų naudotojo autorizacijos raginimą, kai programa pirmą kartą išsaugo konfigūraciją, o tai priklauso tam modeliui, o ne VPN programoms apskritai.
Du teiginiai apie etiketę, kurių verta atsisakyti
Pirmasis yra tas, kad asmeninis VPN pasirenka šifrą. Ne; suderintas rinkinys ateina iš protokolo ir jo konfigūracijos, o etiketė Asmeninis nieko nesako apie tai, kurį gausite. Antrasis yra tas, kad asmeninis VPN reiškia tarpinį serverį arba ribotą tunelį. Jis reiškia integruotą IPsec arba IKEv2, o tai yra visas tunelis, kai maršrutai taip sako.
Todėl programos buvimas nėra įrodymas apie laidų protokolą. Trečiosios šalies klientas, kalbantis WireGuard arba OpenVPN, iš prigimties yra teikėjo programa, nes iOS šių protokolų natūraliai neįgyvendina.
Kodėl įmonės formuluotė klaidina
„Apple“ dokumentacija NETunnelProviderManager konfigūracijas klasifikuoja kaip įprastas įmonės VPN konfigūracijas. Ši formuluotė yra API kategorija, ir ji stumia žmones prie dviejų priešingų klaidų: manyti, kad vartotojiška programa negali naudoti teikėjo modelio, ir manyti, kad telefonas turi būti prižiūrimas. Nė viena neišplaukia. Vartotojiškos programos įprastai pateikia teikėjus, o priežiūra yra atskiras klausimas apie tai, kas gali vykdyti politiką.
Valdymo nuosavybė yra tas ketvirtas klausimas, ir ji nepriklauso nuo abiejų modelių. Organizacijos įdiegta konfigūracija neša savo tapatybę, srauto apimtį ir gyvavimo ciklo taisykles, ir jos keliauja su profiliu, o ne su programa, kuri atsitiktinai įdiegta. Skaitykite jas kartu su integracijos modeliu, nes valdomas integruotas profilis ir nevaldomas teikėjo profilis gali būti tame pačiame telefone vienu metu.
Tikrinkite įrodymus, o ne ekrano kopiją
Ekrano kopijos yra blogiausias prieinamas įrodymas, nes Nustatymų grupavimas keičiasi tarp versijų. Valdomas profilis įvardija savo naudingosios apkrovos tipą: integruotas profilis deklaruoja VPN tipą, pavyzdžiui, IKEv2 arba IPsec, o teikėjo profilis turi potipį, įvardijantį teikėjo paketo identifikatorių. Tai galima patikrinti jūsų priekyje esančiame įrenginyje, ir tai išgyvena kitą pertvarką.
Kalbant apie pačią programą, naudojama klasė atsako į tą patį klausimą iš kitos pusės: konfigūracijos objektai iš asmeninio VPN API arba teikėjo tvarkyklė ir jos plėtinys.
Tada rinkitės pagal tai, ką operatorius iš tikrųjų teikia. Kur yra suderinamas natūralus profilis, integruotas kelias turi mažiau judančių dalių ir vienu dalyku mažiau atnaujinti. Kur paslaugai reikia protokolo, kurio iOS nepateikia, teikėjo programa yra vienintelė galimybė, ir jos leidimų ritmas tampa jūsų rizikos dalimi.
Saugokite įrašą kartu su ryšiu
Prisekite autentifikaciją ir išteklių politiką prie ryšio įrašo, o ne prie programos, kad perdiegimas nepasiimtų autorizacijos modelio. Tas įrašas taip pat yra tai, ko reikia palaikymo inžinieriui, kai tunelis pakyla ir niekas kitas neveikia.
Klausimas, kurį verta užduoti pabaigoje, nėra kuris modelis geresnis. Tai, kurį modelį palaiko jūsų operatorius, ir kurį galite derinti antrą valandą nakties su įrankiais, kuriuos tikrai turite.