iPhone дээрх VPN апп эсвэл суурилуулсан IKEv2: хэрхэн сонгох вэ
iPhone-д зориулсан VPN апп болон суурилуулсан IKEv2 клиент өөр өөр асуудлыг шийддэг. Эхлээд протоколын дэмжлэг, баталгаажуулалт, төхөөрөмжийн хяналт, сэргээлтийг харьцуулна уу.
Өнгөрсөн долоо хоногт хамт олон маань iPhone-оо сунгаж өгсөн бөгөөд Тохиргоонд хоёр VPN бичлэг байв: нэгийг нь үйлчилгээ үзүүлэгчийн апп үлдээсэн, нөгөө нь дэмжлэгийн хуудаснаас хуулсан IKEv2 профайлаас. Эдгээр нь нэг зүйлийн өрсөлдөгч хувилбарууд биш. Үйлчилгээ үзүүлэгчийн апп нь өөрийн туннелийн кодыг авч явах боломжтой контейнер, харин Apple-ын суурилуулсан клиент нь гараар эсвэл профайлаар тохируулдаг IKEv2 клиент юм. Протокол, бүртгэлийн мэдээллийг зохицуулах, төхөөрөмжийн хяналт, сэргээлт нь сонголтыг тодорхойлно.
Апп болон суурилуулсан клиент өөр өөр давхаргад байна
Apple-ын суурилуулсан VPN клиент нь бодит байдалд IKEv2 клиент юм. Гараар бөглөх маягт хуучирсан IPsec дээрх L2TP болон Cisco IPsec сонголтуудыг жагсаасан хэвээр, гэхдээ үйлчилгээ үзүүлэгчийн тээврийн талбар ч, OpenVPN эсвэл WireGuard тохиргоог буулгах газар ч алга. Та Тохиргоо > Ерөнхий > VPN & Төхөөрөмжийн удирдлага хэсэгт маягт бөглөх эсвэл VPN ачаалалтай профайл импортолно; гадаргуу нь серверийн хаяг, хоёр таних мэдээлэл, баталгаажуулах арга, заавал бус шаардлагын дүрэм юм.
Үйлчилгээ үзүүлэгчийн апп нэг давхарга дээгүүр ажилладаг. Энэ нь Network Extension пакет туннелийн үйлчилгээ үзүүлэгчийг нийлүүлдэг тул протоколын код болон маршрутжуулалтын логик апп дотор амьдарч, iOS зөвхөн пакетуудыг дамжуулна. Зарим апп WireGuard эсвэл OpenVPN-ыг хэрэгжүүлдэг, бусад нь өөрийн далдлагдсан тээврийг, цөөн хэд нь зөвхөн IKEv2 профайл суулгаж, илүү гоё дэлгэцийн цаана суурилуулсан клиентийг удирддаг. Энэ сүүлийн бүлгийн улмаас апп эсвэл профайл гэсэн сонголт заримдаа хуурамч байдаг.
Үр дагавар нь практик: .ovpn эсвэл WireGuard файл эдгээр талбарыг орлохгүй, учир нь гар барих нь өөр протокол.
Функцуудыг харьцуулахын өмнө ачааллыг уншина уу
Профайл IKEv2 үед ачааллын түлхүүрүүд ямар ч функцийн харьцуулалтаас илүү олон алдааг тайлбарладаг. Apple-ын IKEv2 тохиргооны лавлагаа түлхүүр бүрийг баримтжуулдаг; богиносгосон ачаалал иймэрхүү харагдана:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Гурван талбар оношлогооны ихэнх ачааг үүрдэг. RemoteIdentifier нь клиентийн серверээс хүлээдэг нэр тул NAT-ын ард байгаа гарц эсвэл сертификат нь хаягийн оронд пулыг нэрлэдэг ачааллын хуваарилагч хаяг зөв байсан ч бүтэлгүйтдэг. LocalIdentifier нь сервер таныг гэж үздэг таних мэдээлэл бөгөөд сертификатаар баталгаажуулах үед таны бүртгэлтэй холбогдсон таних мэдээлэлтэй тохирох ёстой. ServerCertificateIssuerCommonName нь олгогч CA-г бэхэлдэг тул профайл сертификат дахин олгогдсон өдөр бүтэлгүйтэж болох бөгөөд ямар ч алдааны мэдээлэл сертификатыг дурдахгүй.
Хэрэв AuthenticationMethod нь SharedSecret бол сервер EAP хэрэглэгчийн баталгаажуулалтыг хийдэг бөгөөд таны авсан нууц нь үнэндээ бүртгэлийн итгэмжлэл юм. Үйлчилгээ үзүүлэгч хоёр баримт бичиг илгээх үед энэ нь чухал: нэг нь хэрэглэгчийн нэр, нууц үгэнд, нөгөө нь сертификатад, зөвхөн нэг нь таны импортолсонтой тохирдог.
Апп юу хийж чадах, суурилуулсан клиент юу хийж чадахгүй
Протоколын сонголт бол илт давуу тал. Хэрэв таны сервер WireGuard эсвэл OpenVPN-оор ярьдаг бол апп нь үүнийг ашиглаж чадах цорын ганц iOS клиент бөгөөд суурилуулсан маягтыг засах нь үүнийг тохиролцохгүй. Апп мөн очих газар эсвэл аппаар хуваасан туннель, өөрийн DNS боловсруулалт, kill switch хэв маягийн блоклолт, серверийн сонголт, өөрийн сүлжээнд тохируулсан дахин холболтыг хэрэгжүүлж чадна.
Үнэ нь таны шалгаагүй програм хангамж бөгөөд сүлжээний өргөтгөлийн эрхээр ажилладаг. Чанар нь дэлгүүрийн картуудаас илүү хэлбэлздэг: нэг апп цэвэрхэн дахин холбогддог бол нөгөө нь сүлжээ солигдсоны дараа хэдэн секунд алдаг, апп доторх kill switch нь тухайн аппын функц, iOS-ынх биш. Удирдлагатай төхөөрөмж дээр эхлээд зөвшөөрөгдсөн жагсаалтыг шалгана уу.
Суурилуулсан IKEv2 профайл юуг зөв хийдэг
Хөдөлгөөнт хэсэг цөөн байх нь бүхэл үндэслэл. IKEv2 клиент болон түүний IPsec стек нь үйлдлийн системтэй хамт ирдэг тул нуран унаж болох өргөтгөл ч, апп бүрт амьд барих процесс ч, таны болон ажиллаж буй туннелийн хооронд гуравдагч талын шинэчлэлтийн мөчлөг ч байхгүй. Профайлыг түгжиж болно: хяналттай төхөөрөмж дээр хэрэглэгч удирдлага суулгасныг устгаж чадахгүй, харин хэрэглэгчийн унтраалгагүйгээр ямар ч сүлжээнд дахин холбогддог Always On VPN зөвхөн ийм хяналттай, профайлаар удирдуулсан хэлбэрээр оршдог.
Суурилуулсан зам өгөхгүй зүйл нь уян хатан байдал. Удирдлагатай аппгүйгээр апп тус бүрийн VPN байхгүй, хэрэглэгчид зориулсан kill switch байхгүй, IPsec-ийг блоколдог сүлжээнд HTTPS мэт харагдах тээвэр байхгүй. UDP 500 болон 4500-г хаядаг зочид буудлын сүлжээнд суурилуулсан IKEv2-д нөөц зам байхгүй.
Ихэнх тохиолдлыг шийддэг шийдвэрийн хүснэгт
Практикт протоколын асуулт функцууд чухал болохоос өмнө ихэнх тохиолдлыг шийддэг.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Хоёр мөр хоёр дахь харцаар үзэх ёстой. Хувийн утсан дээрх апп тус бүрийн шаардлага нь хүмүүс буруу уншдаг тохиолдол: тохиргоо iOS-д байдаг ч удирдлага хянадаг, тиймээс удирдлагагүй төхөөрөмж үүнийг санал болгохгүй. Блоклогдсон сүлжээ нь IKEv2-д итгэхгүй байх шалтгаан биш; энэ нь үйлчилгээ үзүүлэгчийн апп байгаа шалтгаан юм.
Сонголтыг нэг туршилтаар баталгаажуулна уу
Холболтын товчлуурыг биш, алдааны горимуудыг туршина уу. Нэг удаа холбогдож, VPN индикатор гарч ирснийг баталгаажуулаад, нийтийн хаягаа буцаадаг хуудсыг нээж өмнөхтэй харьцуулна уу. VPN-д хүрэлгүйгээр Wi-Fi-аас үүрэн өгөгдөл рүү шилжиж дахин холболтыг ажиглаад, дараа нь утсыг нислэгийн горимоор дамжуулна уу. Дахин ачаалж туннель өөрөө буцаж ирэх эсэхийг харна уу: OnDemandEnabled бүхий профайл буцах ёстой, харин олон аппыг эхлээд нээх шаардлагатай.
Хэрэв буцаж ирэхгүй бол алдааг туннель байгаа эсэхээр хуваана уу. VPN индикатор байхгүй нь туннель хэзээ ч босоогүй гэсэн үг: эсвэл гар барих нь RemoteIdentifier, бэхэлсэн CA эсвэл итгэмжлэл дээр бүтэлгүйтсэн, эсвэл холболтыг огт оролдоогүй, учир нь шаардлагын дүрэм таарахгүй, ямар ч апп үүнийг эхлүүлээгүй. Индикатор байгаа ч урсгал бүтэлгүйтвэл маршрутжуулалт, DNS эсвэл серверийн талын бодлого гэсэн үг бөгөөд клиентийг дахин суулгах нь эдгээрийн аль нэгэнд хүрэхгүй.
Төхөөрөмжийг дараагийн хүнд тайлбарлахуйц байлгах богино жагсаалт:
- нэг VPN бичлэг, хоёр биш;
- профайл эсвэл апп нь холбогдож буй серверийн нэрээр нэрлэгдсэн;
- таних мэдээллийн утгуудыг олж болох газарт бичсэн.
Хүснэгтийн протоколын мөрөөс эхэлж, хэрэв асуултад хариулж байвал тэнд зогсоно уу.