VPN-апликација или вграден IKEv2 на iPhone: како да изберете
VPN-апликација за iPhone и вградениот IKEv2 клиент решаваат различни проблеми. Прво споредете поддршка на протоколи, автентикација, контрола на уредот и враќање.
Минатата недела колега ми го подаде својот iPhone со два VPN внеса во Поставки: едниот оставен од апликација на провајдер, другиот од IKEv2 профил вметнат од страница за поддршка. Тоа не се конкурентни верзии на истото. Апликацијата на провајдерот е контејнер што може да носи сопствен код за тунел, додека вградениот клиент на Apple е IKEv2 клиент, конфигуриран рачно или со профил. Протоколот, ракувањето со акредитиви, контролата на уредот и враќањето го одредуваат изборот.
Апликацијата и вградениот клиент се на различни слоеви
Вградениот VPN клиент на Apple е во пракса IKEv2 клиент. Рачната форма уште го наведува застарениот L2TP преку IPsec и опциите Cisco IPsec, но нема поле за транспорт на провајдерот и нема каде да се вметне OpenVPN или WireGuard конфигурација. Или пополнувате форма во Поставки > Општо > VPN & Управување со уредот или увезувате профил со VPN товар; површината е адреса на сервер, два идентитети, метод на автентикација и опционални правила на барање.
Апликацијата на провајдерот работи еден слој повисоко. Доставува Network Extension провајдер за пакетен тунел, па кодот на протоколот и логиката за рутирање живеат во апликацијата, а iOS само ги пренесува пакетите. Некои апликации имплементираат WireGuard или OpenVPN, други сопствен замаглен транспорт, а неколку само инсталираат IKEv2 профил и управуваат со вградениот клиент зад поубав екран. Поради последната група изборот апликација наспроти профил понекогаш е лажен.
Последицата е практична: датотека .ovpn или WireGuard не ги заменува тие полиња, бидејќи ракувањето е друг протокол.
Прочитајте го товарот пред да ги споредите функциите
Кога профилот е IKEv2, клучевите на товарот објаснуваат повеќе дефекти од било која споредба на функции. Apple-овата референца за IKEv2 поставки документира секој клуч; скратен товар изгледа вака:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Три полиња го носат најголемиот дел од дијагностичката тежина. RemoteIdentifier е името што клиентот го очекува од серверот, па порта зад NAT или балансер чиј сертификат го наведува базенот наместо адресата не успева иако адресата е точна. LocalIdentifier е идентитетот што серверот мисли дека сте вие, и со автентикација со сертификат мора да одговара на идентитетот поврзан со вашата сметка. ServerCertificateIssuerCommonName го прикова издавачот CA, па профилот може да не успее на денот кога сертификатот се издава повторно, без ниту една порака за грешка што споменува сертификати.
Ако AuthenticationMethod е еднакво на SharedSecret, серверот врши EAP корисничка автентикација и тајната што ја добивте е всушност акредитив на сметката. Тоа е важно кога провајдерот праќа два документи, еден за корисничко име и лозинка и еден за сертификат, и само еден одговара на тоа што сте го увезле.
Што апликацијата може, а вградениот клиент не
Изборот на протокол е очигледна предност. Ако вашиот сервер зборува WireGuard или OpenVPN, апликацијата е единствениот iOS клиент што може да го користи, а уредувањето на вградената форма тоа нема да го договори. Апликацијата може и да имплементира поделен тунел по одредиште или апликација, сопствено ракување со DNS, блокада во стил на kill switch, избор на сервер и повторно поврзување прилагодено на сопствената мрежа.
Цената е софтвер што не сте го ревидирале и работи со овластувања на мрежно проширување. Квалитетот варира повеќе отколку што сугерираат картичките во продавницата: една апликација се поврзува чисто, а друга по промена на мрежата неколку секунди пропушта сообраќај, а kill switch внатре во апликацијата е функција на таа апликација, не на iOS. На управуван уред најпрво проверете го одобрениот список.
Што вградениот IKEv2 профил го прави правилно
Помалку подвижни делови е целиот аргумент. IKEv2 клиентот и неговиот IPsec стек доаѓаат со системот, па нема проширување што може да падне, нема процес по апликација што треба да се одржува жив и нема циклус на ажурирања од трета страна помеѓу вас и тунел што работи. Профилот може и да се заклучи: на надгледуван уред корисникот не може да го отстрани тоа што го инсталирало управувањето, а Always On VPN, кој се поврзува повторно на секоја мрежа без корисничко прекинувач, постои само во таа надгледувана, со профил управувана форма.
Она што вградениот пат не го дава е флексибилноста. Нема VPN по апликација без управувани апликации, нема kill switch за корисникот и нема транспорт што во мрежа што блокира IPsec би изгледал како HTTPS. Во хотелски мрежи што ги отфрлаат UDP 500 и 4500, вградениот IKEv2 нема резерва.
Табела за одлуки што ги решава повеќето случаи
Во пракса прашањето за протоколот ги решава повеќето случаи пред функциите да станат важни.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Два реда заслужуваат втор поглед. Барањето по апликација на личен телефон е случајот што луѓето го читаат погрешно: поставката постои во iOS, но со неа управува управувањето, па неуправуван уред нема да ја понуди. Блокираната мрежа не е причина да не му верувате на IKEv2; тоа е причината зошто постои апликацијата на провајдерот.
Проверете го изборот со еден тест
Тестирајте ги режимите на дефект, не копчето за поврзување. Поврзете се еднаш, потврдете дека се појавува VPN индикаторот, потоа отворете страница што ја враќа вашата јавна адреса и споредете ја со претходната. Префрлете се од Wi-Fi на мобилни податоци без да го допрете VPN и гледајте за повторно поврзување, потоа спроведете го телефонот низ авионски режим. Рестартирајте и видете дали тунелот се враќа сам: профил со OnDemandEnabled треба, додека многу апликации треба прво да се отворат.
Кога не се враќа, поделете го дефектот според тоа дали воопшто постои тунел. Нема VPN индикатор значи дека тунелот никогаш не се кренал: или ракувањето не успеало на RemoteIdentifier, прикованиот CA или акредитив, или врската никогаш не била пробана затоа што правилото на барање не се совпаднало и ниту една апликација не го стартувала. Индикатор со сообраќај што не успева значи рутирање, DNS или политика на страната на серверот, а повторната инсталација на клиентот не допира ништо од тоа.
Краток список за уредот да биде објаснив за следната личност:
- еден VPN внес, не два;
- профилот или апликацијата именувани по серверот со кој се поврзуваат;
- вредностите на идентитетот запишани таму каде што ќе ги најдете.
Почнете со редот за протокол во табелата и застанете таму ако одговара на прашањето.