Personīgais VPN vai pakešu tunelis: divi iPhone VPN modeļi
Viens modelis konfigurē iOS iebūvēto IPsec vai IKEv2; otrs piegādā pakalpojumu sniedzēju, kas ievieš savu protokolu. Produkta nosaukums nepasaka, kuru jūs saņēmāt.
Divas iPhone lietotnes var abas ievietot VPN ierakstu Iestatījumos, abas saukties par VPN klientiem un gandrīz nedalīties ar kādu ieviešanu. Apple vienu no šīm integrācijām sauc par Personīgo VPN, un tieši šis nosaukums rada lielāko daļu neskaidrības. Personīgais VPN ir API konfigurāciju izveidei un pārvaldībai, kas izmanto iebūvēto IPsec vai IKEv2 ieviešanu. Pakešu tuneļa pakalpojumu sniedzējs ir otrs modelis: lietotne piegādā paplašinājumu, kas ievieš sava protokola klienta pusi. Viss, ko cilvēki vēlāk secina no šīs etiķetes, no šifriem līdz īpašumtiesībām un līdz tam, vai tālrunis ir jāpārvalda, ir secinājums, nevis apgalvojums.
Kas ievieš tuneli
Šis dalījums nosaka, kas ir atbildīgs, kad kaut kas sabojājas. Ar iebūvēto IPsec vai IKEv2 tuneļa stāvokļa mašīnu pārvalda iOS, un lietotnei pieder konfigurācija un pogas. Ar pakalpojumu sniedzēju lietotnei pieder abi, tāpēc protokola kļūda kļūst par lietotnes atjauninājumu, nevis operētājsistēmas atjauninājumu.
Salīdzinājums ir īss, ja jautājat, kas ievieš protokolu.
| Integration | Apple interface | Protocol implementation |
|---|---|---|
| Personal VPN | NEVPNManager with a Personal VPN configuration | The system IPsec or IKEv2 client |
| Packet tunnel | NETunnelProviderManager plus the provider extension | Whatever the extension implements |
Personīgā VPN dokumentācija arī piemin skaidru lietotāja autorizācijas pieprasījumu, kad lietotne pirmo reizi saglabā konfigurāciju, un tas pieder pie šī modeļa, nevis pie VPN lietotnēm kopumā.
Divi apgalvojumi par etiķeti, no kuriem labāk atteikties
Pirmais ir tas, ka Personīgais VPN izvēlas šifru. Tas to nedara; sarunātā kopa nāk no protokola un tā konfigurācijas, un etiķete Personīgais nepasaka neko par to, kuru jūs iegūsit. Otrais ir tas, ka Personīgais VPN nozīmē starpniekserveri vai ierobežotu tuneli. Tas nozīmē iebūvēto IPsec vai IKEv2, kas ir pilns tunelis ikreiz, kad maršruti tā saka.
Tāpēc lietotnes klātbūtne nav pierādījums par vadu protokolu. Trešās puses klients, kas runā WireGuard vai OpenVPN, pēc uzbūves ir pakalpojumu sniedzēja lietotne, jo iOS šos protokolus dabiski neievieš.
Kāpēc uzņēmuma formulējums maldina
Apple dokumentācija NETunnelProviderManager konfigurācijas klasificē kā parastas uzņēmuma VPN konfigurācijas. Šis formulējums ir API kategorija, un tas virza cilvēkus uz divām pretējām kļūdām: pieņemt, ka patērētāja lietotne nevar izmantot pakalpojumu sniedzēja modeli, un pieņemt, ka tālrunim tāpēc jābūt uzraudzībā. Neviens no tiem neizriet. Patērētāju lietotnes regulāri piegādā pakalpojumu sniedzējus, un uzraudzība ir atsevišķs jautājums par to, kurš drīkst īstenot politiku.
Pārvaldības īpašumtiesības ir tas ceturtais jautājums, un tas nav atkarīgs no abiem modeļiem. Organizācijas instalēta konfigurācija nes savu identitāti, trafika apjomu un dzīves cikla noteikumus, un tie ceļo kopā ar profilu, nevis ar lietotni, kas nejauši ir instalēta. Lasiet tos kopā ar integrācijas modeli, jo pārvaldīts iebūvēts profils un nepārvaldīts pakalpojumu sniedzēja profils var būt vienā tālrunī vienlaikus.
Pārbaudiet pierādījumus, nevis ekrānuzņēmumu
Ekrānuzņēmumi ir sliktākais pieejamais pierādījums, jo Iestatījumu grupēšana mainās starp versijām. Pārvaldīts profils nosauc savu kravnesības tipu: iebūvēts profils deklarē VPN tipu, piemēram, IKEv2 vai IPsec, kamēr pakalpojumu sniedzēja profils nes apakštipu, kas nosauc pakalpojumu sniedzēja pakotnes identifikatoru. To var pārbaudīt ierīcē jūsu priekšā, un tas pārdzīvo nākamo pārveidi.
Runājot par pašu lietotni, izmantotā klase atbild uz to pašu jautājumu no otras puses: konfigurācijas objekti no Personīgā VPN API vai pakalpojumu sniedzēja pārvaldnieks un tā paplašinājums.
Pēc tam izvēlieties pēc tā, ko operators faktiski piedāvā. Kur ir saderīgs dabiskais profils, iebūvētajam ceļam ir mazāk kustīgu daļu un par vienu lietu mazāk jāatjaunina. Kur pakalpojumam nepieciešams protokols, ko iOS nepiegādā, pakalpojumu sniedzēja lietotne ir vienīgā iespēja, un tās izlaidumu ritms kļūst par jūsu riska daļu.
Glabājiet ierakstu kopā ar savienojumu
Pievienojiet autentifikāciju un resursu politiku savienojuma ierakstam, nevis lietotnei, lai pārinstalēšana nepaņemtu līdzi autorizācijas modeli. Šis ieraksts ir arī tas, kas atbalsta inženierim nepieciešams, kad tunelis paceļas un nekas cits nestrādā.
Jautājums, ko ir vērts uzdot beigās, nav tas, kurš modelis ir labāks. Tas ir, kuru modeli atbalsta jūsu operators un kuru jūs varat atkļūdot divos naktī ar rīkiem, kas jums patiešām ir.