iPhone-ൽ VPN ആപ്പോ ഉൾനിർമിത IKEv2-യോ: എങ്ങനെ തിരഞ്ഞെടുക്കാം
iPhone VPN ആപ്പും ഉൾനിർമിത IKEv2 ക്ലയന്റും വ്യത്യസ്ത പ്രശ്നങ്ങൾ പരിഹരിക്കുന്നു. ആദ്യം പ്രോട്ടോക്കോൾ പിന്തുണ, പ്രാമാണീകരണം, ഉപകരണ നിയന്ത്രണം, വീണ്ടെടുക്കൽ എന്നിവ താരതമ്യം ചെയ്യുക.
കഴിഞ്ഞ ആഴ്ച ഒരു സഹപ്രവർത്തകൻ തന്റെ iPhone എന്റെ നേരെ നീട്ടി; സെറ്റിംഗ്സിൽ രണ്ട് VPN എൻട്രികൾ ഉണ്ടായിരുന്നു: ഒന്ന് ദാതാവിന്റെ ആപ്പ് വിട്ടത്, മറ്റൊന്ന് സഹായ പേജിൽ നിന്ന് പേസ്റ്റ് ചെയ്ത IKEv2 പ്രൊഫൈലിൽ നിന്ന്. ഇവ ഒരേ കാര്യത്തിന്റെ മത്സര പതിപ്പുകളല്ല. ദാതാവിന്റെ ആപ്പ് സ്വന്തം ടണൽ കോഡ് കൊണ്ടുവരാൻ കഴിയുന്ന ഒരു കണ്ടെയ്നറാണ്, അതേസമയം Apple-ന്റെ ഉൾനിർമിത ക്ലയന്റ് കൈകൊണ്ടോ പ്രൊഫൈൽ വഴിയോ ക്രമീകരിക്കുന്ന IKEv2 ക്ലയന്റാണ്. പ്രോട്ടോക്കോൾ, ക്രെഡൻഷ്യലുകളുടെ കൈകാര്യം, ഉപകരണ നിയന്ത്രണം, വീണ്ടെടുക്കൽ എന്നിവ തിരഞ്ഞെടുപ്പ് നിർണ്ണയിക്കുന്നു.
ആപ്പും നേറ്റീവ് ക്ലയന്റും വ്യത്യസ്ത പാളികളിലാണ്
Apple-ന്റെ ഉൾനിർമിത VPN ക്ലയന്റ് പ്രായോഗികമായി IKEv2 ക്ലയന്റാണ്. കൈകൊണ്ട് പൂരിപ്പിക്കുന്ന ഫോം ഇപ്പോഴും കാലഹരണപ്പെട്ട IPsec-ൽ L2TP ഉം Cisco IPsec ഓപ്ഷനുകളും പട്ടികപ്പെടുത്തുന്നു, പക്ഷേ ദാതാവിന്റെ ഗതാഗതത്തിന് ഫീൽഡോ OpenVPN അല്ലെങ്കിൽ WireGuard കോൺഫിഗറേഷൻ പേസ്റ്റ് ചെയ്യാൻ സ്ഥലമോ ഇല്ല. നിങ്ങൾ സെറ്റിംഗ്സ് > പൊതുവായത് > VPN & ഉപകരണ മാനേജ്മെന്റിൽ ഫോം പൂരിപ്പിക്കുകയോ VPN പേലോഡുള്ള പ്രൊഫൈൽ ഇറക്കുമതി ചെയ്യുകയോ ചെയ്യുന്നു; ഉപരിതലം ഒരു സെർവർ വിലാസം, രണ്ട് ഐഡന്റിറ്റികൾ, ഒരു പ്രാമാണീകരണ രീതി, ഓപ്ഷണൽ ആവശ്യാധിഷ്ഠിത നിയമങ്ങൾ എന്നിവയാണ്.
ദാതാവിന്റെ ആപ്പ് ഒരു പാളി മുകളിലാണ് പ്രവർത്തിക്കുന്നത്. ഇത് Network Extension പാക്കറ്റ് ടണൽ ദാതാവ് നൽകുന്നു, അതിനാൽ പ്രോട്ടോക്കോൾ കോഡും റൂട്ടിംഗ് യുക്തിയും ആപ്പിൽ ജീവിക്കുന്നു, iOS പാക്കറ്റുകൾ കൈമാറുന്നു മാത്രം. ചില ആപ്പുകൾ WireGuard അല്ലെങ്കിൽ OpenVPN നടപ്പാക്കുന്നു, ചിലത് സ്വന്തം അവ്യക്ത ഗതാഗതം, ചിലത് IKEv2 പ്രൊഫൈൽ മാത്രം ഇൻസ്റ്റാൾ ചെയ്ത് നേറ്റീവ് ക്ലയന്റിനെ മനോഹരമായ സ്ക്രീനിന് പിന്നിൽ പ്രവർത്തിപ്പിക്കുന്നു. ഈ അവസാന കൂട്ടം കാരണമാണ് ആപ്പോ പ്രൊഫൈലോ എന്ന തിരഞ്ഞെടുപ്പ് ചിലപ്പോൾ കള്ളമാകുന്നത്.
ഫലം പ്രായോഗികമാണ്: .ovpn അല്ലെങ്കിൽ WireGuard ഫയൽ ആ ഫീൽഡുകൾ മാറ്റിസ്ഥാപിക്കുന്നില്ല, കാരണം ഹാൻഡ്ഷേക്ക് മറ്റൊരു പ്രോട്ടോക്കോളാണ്.
സവിശേഷതകൾ താരതമ്യം ചെയ്യുന്നതിന് മുമ്പ് പേലോഡ് വായിക്കുക
പ്രൊഫൈൽ IKEv2 ആകുമ്പോൾ, പേലോഡിലെ കീകൾ ഏതൊരു സവിശേഷത താരതമ്യത്തേക്കാളും കൂടുതൽ പരാജയങ്ങൾ വിശദീകരിക്കുന്നു. Apple-ന്റെ IKEv2 ക്രമീകരണ റഫറൻസ് ഓരോ കീയും രേഖപ്പെടുത്തുന്നു; ചുരുക്കിയ പേലോഡ് ഇങ്ങനെ കാണപ്പെടുന്നു:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>മൂന്ന് ഫീൽഡുകൾ ഡയഗ്നോസ്റ്റിക് ഭാരത്തിന്റെ ഭൂരിഭാഗവും വഹിക്കുന്നു. RemoteIdentifier ക്ലയന്റ് സെർവറിൽ നിന്ന് പ്രതീക്ഷിക്കുന്ന പേരാണ്, അതിനാൽ NAT-ന് പിന്നിലുള്ള ഗേറ്റ്വേയോ അതിന്റെ സർട്ടിഫിക്കറ്റ് വിലാസത്തിന് പകരം പൂൾ പേരിടുന്ന ലോഡ് ബാലൻസറോ വിലാസം ശരിയായിട്ടും പരാജയപ്പെടുന്നു. LocalIdentifier സെർവർ നിങ്ങളെ കരുതുന്ന ഐഡന്റിറ്റിയാണ്, സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണത്തിൽ അത് നിങ്ങളുടെ അക്കൗണ്ടുമായി ബന്ധിപ്പിച്ച ഐഡന്റിറ്റിയുമായി പൊരുത്തപ്പെടണം. ServerCertificateIssuerCommonName നൽകുന്ന CA പിൻ ചെയ്യുന്നു, അതിനാൽ സർട്ടിഫിക്കറ്റ് വീണ്ടും നൽകുന്ന ദിവസം പ്രൊഫൈൽ പരാജയപ്പെടാം, ഏതെങ്കിലും പിശക് സന്ദേശത്തിൽ സർട്ടിഫിക്കറ്റുകൾ പരാമർശിക്കാതെ.
AuthenticationMethod SharedSecret-ന് തുല്യമാണെങ്കിൽ, സെർവർ EAP ഉപയോക്തൃ പ്രാമാണീകരണം ചെയ്യുന്നു, നിങ്ങൾക്ക് നൽകിയ രഹസ്യം യഥാർത്ഥത്തിൽ അക്കൗണ്ട് ക്രെഡൻഷ്യലാണ്. ദാതാവ് രണ്ട് രേഖകൾ അയയ്ക്കുമ്പോൾ ഇത് പ്രധാനമാണ്, ഒന്ന് ഉപയോക്തൃനാമത്തിനും പാസ്വേഡിനും, മറ്റൊന്ന് സർട്ടിഫിക്കറ്റിനും, നിങ്ങളുടെ ഇറക്കുമതിയുമായി ഒന്ന് മാത്രം പൊരുത്തപ്പെടുന്നു.
ആപ്പ് എന്ത് ചെയ്യാം, നേറ്റീവ് ക്ലയന്റ് ചെയ്യില്ല
പ്രോട്ടോക്കോൾ തിരഞ്ഞെടുപ്പ് വ്യക്തമായ നേട്ടമാണ്. നിങ്ങളുടെ സെർവർ WireGuard അല്ലെങ്കിൽ OpenVPN സംസാരിക്കുന്നുവെങ്കിൽ, അത് ഉപയോഗിക്കാൻ കഴിയുന്ന ഏക iOS ക്ലയന്റ് ആപ്പാണ്, നേറ്റീവ് ഫോം തിരുത്തുന്നത് അതിൽ ചർച്ച നടത്തില്ല. ആപ്പ് ലക്ഷ്യമോ ആപ്പോ അനുസരിച്ച് വിഭജിച്ച ടണൽ, സ്വന്തം DNS കൈകാര്യം, kill switch ശൈലിയിലുള്ള തടയൽ, സെർവർ തിരഞ്ഞെടുപ്പ്, സ്വന്തം നെറ്റ്വർക്കിന് ഇണങ്ങിയ വീണ്ടും കണക്ഷൻ എന്നിവയും നടപ്പാക്കാം.
വില നിങ്ങൾ ഓഡിറ്റ് ചെയ്യാത്ത സോഫ്റ്റ്വെയറാണ്, അത് നെറ്റ്വർക്ക് എക്സ്റ്റൻഷന്റെ അധികാരങ്ങളോടെ പ്രവർത്തിക്കുന്നു. ഗുണനിലവാരം സ്റ്റോർ കാർഡുകൾ സൂചിപ്പിക്കുന്നതിലും കൂടുതൽ മാറുന്നു: ഒരു ആപ്പ് വ്യക്തമായി വീണ്ടും കണക്ട് ചെയ്യുമ്പോൾ മറ്റൊന്ന് നെറ്റ്വർക്ക് മാറിയതിന് ശേഷം കുറച്ച് സെക്കൻഡ് ചോർന്നൊലിക്കുന്നു, ആപ്പിനുള്ളിലെ kill switch ആ ആപ്പിന്റെ സവിശേഷതയാണ്, iOS-ന്റേതല്ല. മാനേജ് ചെയ്ത ഉപകരണത്തിൽ ആദ്യം അംഗീകൃത പട്ടിക നോക്കുക.
ഉൾനിർമിത IKEv2 പ്രൊഫൈൽ എന്താണ് ശരിയായി ചെയ്യുന്നത്
കുറഞ്ഞ ചലിക്കുന്ന ഭാഗങ്ങളാണ് മുഴുവൻ വാദം. IKEv2 ക്ലയന്റും അതിന്റെ IPsec സ്റ്റാക്കും സിസ്റ്റത്തോടൊപ്പം വരുന്നു, അതിനാൽ ക്രാഷ് ചെയ്യാവുന്ന എക്സ്റ്റൻഷൻ ഇല്ല, ഓരോ ആപ്പിനും ജീവനോടെ നിലനിർത്തേണ്ട പ്രക്രിയ ഇല്ല, നിങ്ങൾക്കും പ്രവർത്തിക്കുന്ന ടണലിനും ഇടയിൽ മൂന്നാം കക്ഷി അപ്ഡേറ്റ് ചക്രം ഇല്ല. പ്രൊഫൈൽ ലോക്ക് ചെയ്യാനും കഴിയും: മേൽനോട്ടത്തിലുള്ള ഉപകരണത്തിൽ ഉപയോക്താവിന് മാനേജ്മെന്റ് ഇൻസ്റ്റാൾ ചെയ്തത് നീക്കം ചെയ്യാനാകില്ല, ഉപയോക്തൃ സ്വിച്ച് ഇല്ലാതെ ഏത് നെറ്റ്വർക്കിലും വീണ്ടും കണക്ട് ചെയ്യുന്ന Always On VPN ആ മേൽനോട്ടത്തിലുള്ള, പ്രൊഫൈൽ-മാനേജ്ഡ് രൂപത്തിൽ മാത്രമേ നിലനിൽക്കുന്നുള്ളൂ.
ഉൾനിർമിത വഴി നൽകാത്തത് വഴക്കമാണ്. മാനേജ്ഡ് ആപ്പുകളില്ലാതെ ഓരോ ആപ്പിനും VPN ഇല്ല, ഉപയോക്താവിന് kill switch ഇല്ല, IPsec തടയുന്ന നെറ്റ്വർക്കിൽ HTTPS പോലെ തോന്നുന്ന ഗതാഗതം ഇല്ല. UDP 500ഉം 4500ഉം ഉപേക്ഷിക്കുന്ന ഹോട്ടൽ നെറ്റ്വർക്കുകളിൽ ഉൾനിർമിത IKEv2-യ്ക്ക് ബദൽ വഴിയില്ല.
കൂടുതൽ കേസുകൾ തീർക്കുന്ന ഒരു തീരുമാന പട്ടിക
പ്രായോഗികമായി പ്രോട്ടോക്കോൾ ചോദ്യം സവിശേഷതകൾ പ്രധാനമാകുന്നതിന് മുമ്പേ കൂടുതൽ കേസുകൾ തീർക്കുന്നു.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
രണ്ട് വരികൾ രണ്ടാം നോട്ടത്തിന് അർഹമാണ്. വ്യക്തിഗത ഫോണിൽ ഓരോ ആപ്പിനുമുള്ള ആവശ്യകത ആളുകൾ തെറ്റായി വായിക്കുന്ന കേസാണ്: ക്രമീകരണം iOS-ൽ ഉണ്ട് പക്ഷേ മാനേജ്മെന്റാണ് അത് നയിക്കുന്നത്, അതിനാൽ മാനേജ് ചെയ്യാത്ത ഉപകരണം അത് വാഗ്ദാനം ചെയ്യില്ല. തടയപ്പെട്ട നെറ്റ്വർക്ക് IKEv2-യിൽ അവിശ്വസിക്കാനുള്ള കാരണമല്ല; ദാതാവിന്റെ ആപ്പ് ഉള്ളതിന്റെ കാരണം അതാണ്.
ഒരു പരീക്ഷണത്തിലൂടെ തിരഞ്ഞെടുപ്പ് സ്ഥിരീകരിക്കുക
പരാജയ മാതൃകകൾ പരിശോധിക്കുക, കണക്ട് ബട്ടണല്ല. ഒരിക്കൽ കണക്ട് ചെയ്ത്, VPN സൂചകം കാണുന്നുവെന്ന് ഉറപ്പാക്കി, പിന്നീട് നിങ്ങളുടെ പൊതു വിലാസം തിരികെ നൽകുന്ന പേജ് തുറന്ന് മുൻപത്തേതുമായി താരതമ്യം ചെയ്യുക. VPN-നെ തൊടാതെ Wi-Fi-ൽ നിന്ന് മൊബൈൽ ഡാറ്റയിലേക്ക് പോയി വീണ്ടും കണക്ഷൻ ശ്രദ്ധിക്കുക, പിന്നീട് ഫോൺ എയർപ്ലെയിൻ മോഡിലൂടെ കടത്തിവിടുക. വീണ്ടും തുടങ്ങി ടണൽ സ്വയം തിരികെ വരുന്നുണ്ടോ നോക്കുക: OnDemandEnabled ഉള്ള പ്രൊഫൈൽ തിരികെ വരണം, പല ആപ്പുകളും ആദ്യം തുറക്കേണ്ടതുണ്ട്.
അത് തിരികെ വരാത്തപ്പോൾ, ടണൽ ഉണ്ടോ എന്നതിന്റെ അടിസ്ഥാനത്തിൽ പരാജയം വിഭജിക്കുക. VPN സൂചകം ഇല്ലാത്തത് ടണൽ ഒരിക്കലും ഉയർന്നില്ല എന്നാണ്: ഒന്നുകിൽ ഹാൻഡ്ഷേക്ക് RemoteIdentifier, പിൻ ചെയ്ത CA അല്ലെങ്കിൽ ക്രെഡൻഷ്യലിൽ പരാജയപ്പെട്ടു, അല്ലെങ്കിൽ ആവശ്യാധിഷ്ഠിത നിയമം പൊരുത്തപ്പെടാത്തതിനാൽ ഒരു ആപ്പും അത് തുടങ്ങാത്തതിനാൽ കണക്ഷൻ ശ്രമിച്ചിട്ടേയില്ല. സൂചകം ഉണ്ടായിട്ട് ട്രാഫിക് പരാജയപ്പെട്ടാൽ അത് റൂട്ടിംഗ്, DNS അല്ലെങ്കിൽ സെർവർ വശത്തെ നയമാണ്, ക്ലയന്റ് വീണ്ടും ഇൻസ്റ്റാൾ ചെയ്യുന്നത് ഇവയൊന്നിനെയും തൊടുന്നില്ല.
ഉപകരണം അടുത്ത വ്യക്തിക്ക് വിശദീകരിക്കാവുന്നതായി നിലനിർത്താൻ ഒരു ചെറിയ പട്ടിക:
- ഒരു VPN എൻട്രി, രണ്ടല്ല;
- പ്രൊഫൈലോ ആപ്പോ അത് കണക്ട് ചെയ്യുന്ന സെർവറിന്റെ പേരിൽ;
- ഐഡന്റിറ്റി മൂല്യങ്ങൾ നിങ്ങൾക്ക് കണ്ടെത്താനാകുന്നിടത്ത് എഴുതിയിരിക്കുന്നു.
പട്ടികയിലെ പ്രോട്ടോക്കോൾ വരിയിൽ നിന്ന് തുടങ്ങുക, അത് ചോദ്യത്തിന് ഉത്തരം നൽകുന്നുവെങ്കിൽ അവിടെ നിർത്തുക.