Aplikasi VPN atau IKEv2 terbina dalam pada iPhone: cara memilih
Aplikasi VPN iPhone dan klien IKEv2 terbina dalam menyelesaikan masalah berbeza. Bandingkan dahulu sokongan protokol, pengesahan, kawalan peranti dan pemulihan.
Minggu lalu seorang rakan menyerahkan iPhone-nya kepada saya dengan dua entri VPN dalam Tetapan: satu ditinggalkan aplikasi pembekal, satu lagi daripada profil IKEv2 yang ditampal daripada halaman sokongan. Kedua-duanya bukan versi bersaing bagi perkara yang sama. Aplikasi pembekal ialah bekas yang boleh membawa kod terowongnya sendiri, manakala klien terbina dalam Apple ialah klien IKEv2, dikonfigurasikan secara manual atau melalui profil. Protokol, pengendalian kelayakan, kawalan peranti dan pemulihan menentukan pilihan.
Aplikasi dan klien asli berada pada lapisan berbeza
Klien VPN terbina dalam Apple pada praktiknya ialah klien IKEv2. Borang manual masih menyenaraikan L2TP melalui IPsec dan pilihan Cisco IPsec yang lapuk, tetapi tiada medan pengangkutan pembekal dan tiada tempat untuk menampal konfigurasi OpenVPN atau WireGuard. Anda sama ada mengisi borang dalam Tetapan > Umum > VPN & Pengurusan Peranti atau mengimport profil dengan muatan VPN; permukaannya ialah alamat pelayan, dua identiti, satu kaedah pengesahan dan peraturan atas permintaan pilihan.
Aplikasi pembekal berfungsi satu lapisan lebih tinggi. Ia menyertakan pembekal terowong paket Network Extension, jadi kod protokol dan logik penghalaan berada dalam aplikasi dan iOS hanya menyalurkan paket. Sesetengah aplikasi melaksanakan WireGuard atau OpenVPN, yang lain pengangkutan tersembunyi sendiri, dan beberapa hanya memasang profil IKEv2 lalu mengawal klien asli di sebalik skrin yang lebih cantik. Kumpulan terakhir inilah yang menjadikan pilihan aplikasi berbanding profil kadangkala pilihan palsu.
Kesannya praktikal: fail .ovpn atau WireGuard bukan pengganti medan itu, kerana jabat tangan ialah protokol lain.
Baca muatan sebelum membandingkan ciri
Apabila profil ialah IKEv2, kunci muatan menerangkan lebih banyak kegagalan daripada mana-mana perbandingan ciri. Rujukan tetapan IKEv2 Apple mendokumenkan setiap kunci; muatan yang dipendekkan kelihatan seperti ini:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Tiga medan memikul sebahagian besar beban diagnostik. RemoteIdentifier ialah nama yang dijangka klien daripada pelayan, jadi gateway di belakang NAT atau pengimbang beban yang sijilnya menamakan kumpulan dan bukannya alamat gagal walaupun alamat itu betul. LocalIdentifier ialah identiti yang pelayan sangka anda, dan dengan pengesahan sijil ia mesti sepadan dengan identiti yang dipetakan kepada akaun anda. ServerCertificateIssuerCommonName menyemat CA pengeluar, jadi profil boleh gagal pada hari sijil dikeluarkan semula, tanpa sebarang mesej ralat yang menyebut sijil.
Jika AuthenticationMethod sama dengan SharedSecret, pelayan melakukan pengesahan pengguna EAP dan rahsia yang anda terima sebenarnya kelayakan akaun. Itu penting apabila pembekal menghantar dua dokumen, satu untuk nama pengguna dan kata laluan dan satu untuk sijil, dan hanya satu sepadan dengan yang anda import.
Apa yang aplikasi boleh lakukan dan klien asli tidak
Pilihan protokol ialah kelebihan yang jelas. Jika pelayan anda bercakap WireGuard atau OpenVPN, aplikasi ialah satu-satunya klien iOS yang boleh menggunakannya, dan mengedit borang asli tidak akan merundingkannya. Aplikasi juga boleh melaksanakan terowong berpecah mengikut destinasi atau aplikasi, pengendalian DNS sendiri, penyekatan gaya kill switch, pemilihan pelayan dan penyambungan semula yang ditala kepada rangkaiannya sendiri.
Harganya ialah perisian yang anda tidak audit, berjalan dengan keistimewaan sambungan rangkaian. Kualitinya berbeza lebih daripada yang disarankan kad kedai: satu aplikasi menyambung semula dengan bersih sementara yang lain bocor beberapa saat selepas rangkaian berubah, dan kill switch dalam aplikasi ialah ciri aplikasi itu, bukan iOS. Pada peranti terurus, semak senarai diluluskan dahulu.
Apa yang profil IKEv2 terbina dalam lakukan dengan betul
Lebih sedikit bahagian bergerak ialah seluruh hujahnya. Klien IKEv2 dan timbunan IPsec-nya datang bersama sistem pengendalian, jadi tiada sambungan yang boleh ranap, tiada proses setiap aplikasi yang perlu dikekalkan hidup, dan tiada kitaran kemas kini pihak ketiga antara anda dan terowong yang berfungsi. Profil juga boleh dikunci: pada peranti yang diselia pengguna tidak boleh membuang apa yang dipasang pengurusan, dan Always On VPN, yang menyambung semula pada mana-mana rangkaian tanpa suis pengguna, hanya wujud dalam bentuk yang diselia dan diurus profil itu.
Apa yang tidak diberikan laluan terbina dalam ialah keluwesan. Tiada VPN setiap aplikasi tanpa aplikasi terurus, tiada kill switch untuk pengguna, dan tiada pengangkutan yang kelihatan seperti HTTPS pada rangkaian yang menyekat IPsec. Dalam rangkaian hotel yang menggugurkan UDP 500 dan 4500, IKEv2 terbina dalam tiada jalan sandaran.
Jadual keputusan yang menyelesaikan kebanyakan kes
Pada praktiknya soalan protokol menentukan kebanyakan kes sebelum ciri menjadi penting.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Dua baris wajar dilihat sekali lagi. Keperluan setiap aplikasi pada telefon peribadi ialah kes yang orang salah baca: tetapan itu ada dalam iOS tetapi dikawal pengurusan, jadi peranti yang tidak diurus tidak akan menawarkannya. Rangkaian yang disekat bukan sebab untuk tidak mempercayai IKEv2; itulah sebab aplikasi pembekal wujud.
Sahkan pilihan dengan satu ujian
Uji mod kegagalan, bukan butang sambung. Sambung sekali, pastikan penunjuk VPN muncul, kemudian buka halaman yang mengembalikan alamat awam anda dan bandingkan dengan sebelumnya. Tukar daripada Wi-Fi ke data mudah alih tanpa menyentuh VPN dan perhatikan penyambungan semula, kemudian lalui telefon dengan mod kapal terbang. Mulakan semula dan lihat sama ada terowong kembali sendiri: profil dengan OnDemandEnabled sepatutnya kembali, manakala banyak aplikasi perlu dibuka dahulu.
Apabila ia tidak kembali, pisahkan kegagalan mengikut sama ada terowong wujud. Tiada penunjuk VPN bermakna terowong tidak pernah naik: sama ada jabat tangan gagal pada RemoteIdentifier, CA yang disemat atau kelayakan, atau sambungan tidak pernah dicuba kerana peraturan atas permintaan tidak sepadan dan tiada aplikasi memulakannya. Penunjuk dengan trafik gagal bermakna penghalaan, DNS atau dasar sebelah pelayan, dan memasang semula klien tidak menyentuh mana-mana daripada itu.
Senarai pendek supaya peranti boleh dijelaskan kepada orang seterusnya:
- satu entri VPN, bukan dua;
- profil atau aplikasi dinamakan sempena pelayan yang disambungnya;
- nilai identiti ditulis di tempat yang boleh anda temui.
Mulakan dengan baris protokol dalam jadual, dan berhenti di situ jika ia menjawab soalan itu.