Личен VPN или пакетен тунел: два VPN модели за iPhone

Две iPhone апликации можат и двете да стават VPN запис во Поставки, и двете да се нарекуваат VPN клиенти и речиси да не делат никаква имплементација. Apple ја нарекува една од тие интеграции Личен VPN, и токму тоа име го создава најголемиот дел од конфузијата. Личен VPN е API за создавање и управување со конфигурации што ја користат вградената имплементација на IPsec или IKEv2. Доставувач на пакетен тунел е другиот модел: апликацијата доставува екстензија што ја имплементира клиентската страна на сопствениот протокол. Сето она што луѓето потоа го извлекуваат од етикетата, од шифри до сопственост и до тоа дали телефонот мора да се управува, е заклучок, а не изјава.

Кој го имплементира тунелот

Оваа поделба одлучува кој е одговорен кога нешто ќе се расипе. Со вграден IPsec или IKEv2, iOS ја поседува машината за состојби на тунелот, а апликацијата ја поседува конфигурацијата и копчињата. Со провајдер, апликацијата ги поседува двете, па грешка во протоколот станува ажурирање на апликацијата наместо ажурирање на оперативниот систем.

Споредбата е кратка ако прашате кој го имплементира протоколот.

Документацијата на Личен VPN исто така го забележува експлицитното барање за авторизација на корисникот кога апликацијата првпат зачувува конфигурација, што припаѓа на тој модел, а не на VPN апликациите општо.

Два тврдења за етикетата од кои вреди да се откажеме

Првото е дека Личен VPN избира шифра. Не избира; договорениот сет доаѓа од протоколот и неговата конфигурација, а етикетата Личен не кажува ништо за тоа која ќе ја добиете. Второто е дека Личен VPN значи прокси или ограничен тунел. Тоа значи вграден IPsec или IKEv2, што е целосен тунел секогаш кога рутите тоа го кажуваат.

Затоа присуството на апликација не е доказ за жичаниот протокол. Клиент од трета страна што зборува WireGuard или OpenVPN по конструкција е провајдерска апликација, бидејќи iOS не ги имплементира тие протоколи нативно.

Зошто корпоративната формулација доведува во заблуда

Документацијата на Apple ги класифицира конфигурациите на NETunnelProviderManager како обични корпоративни VPN конфигурации. Таа формулација е API категорија и ги турка луѓето кон две спротивни грешки: да претпостават дека потрошувачка апликација не може да го користи провајдерскиот модел и да претпостават дека телефонот мора да биде под надзор заради тоа. Ниту едно не следи. Потрошувачките апликации рутински доставуваат провајдери, а надзорот е одделно прашање за тоа кој смее да спроведува политика.

Сопственоста на управувањето е тоа четврто прашање и е независна од двата модели. Конфигурацијата инсталирана од организација носи сопствен идентитет, обем на сообраќај и правила за животен циклус, и тие патуваат со профилот, а не со апликацијата што случајно е инсталирана. Читајте ги заедно со моделот на интеграција, бидејќи управуван вграден профил и неуправуван провајдерски профил можат да стојат на ист телефон истовремено.

Проверете го доказот наместо сликата од екранот

Сликите од екранот се најлошиот достапен доказ, бидејќи групирањето во Поставки се менува меѓу верзиите. Управуваниот профил го именува својот тип на товар: вградениот профил декларира VPN тип како IKEv2 или IPsec, додека провајдерскиот профил носи подтип што го именува идентификаторот на пакетот на провајдерот. Тоа е проверливо на уредот пред вас и го преживува следниот редизајн.

Што се однесува до самата апликација, употребената класа одговара на истото прашање од другата страна: конфигурациски објекти од API-то на Личен VPN или провајдерски менаџер и неговата екстензија.

Потоа изберете според тоа што операторот навистина го доставува. Каде што постои компатибилен нативен профил, вградениот пат има помалку подвижни делови и една работа помалку за ажурирање. Каде што услугата бара протокол што iOS не го доставува, провајдерската апликација е единствената опција и нејзиниот ритам на издавање станува дел од вашиот ризик.

Чувајте го записот заедно со врската

Прикачете автентикација и ресурсна политика на записот за врската, а не на апликацијата, за да не го земе преинсталирањето моделот за авторизација со себе. Тој запис е и она што му е потребно на инженерот за поддршка кога тунелот ќе се крене, а ништо друго не работи.

Прашањето што вреди да се постави на крајот не е кој модел е подобар. Туку кој модел го поддржува вашиот оператор и кој можете да го отстранувате грешки во два наутро со алатките што навистина ги имате.