App VPN jew IKEv2 integrat fuq iPhone: kif tagħżel
App VPN għall-iPhone u l-klijent IKEv2 integrat isolvu problemi differenti. L-ewwel qabbel l-appoġġ tal-protokolli, l-awtentikazzjoni, il-kontroll tal-apparat u l-irkupru.
Il-ġimgħa li għaddiet kollega għaddieli l-iPhone tiegħu b’żewġ entrati VPN fis-Settings: waħda ħallieha app tal-fornitur, oħra ġiet minn profil IKEv2 imwaħħal minn paġna ta’ appoġġ. Dawn mhumiex verżjonijiet konkorrenti tal-istess ħaġa. L-app tal-fornitur hija kontenitur li jista’ jġorr il-kodiċi tat-tunnel tiegħu stess, filwaqt li l-klijent integrat ta’ Apple huwa klijent IKEv2, ikkonfigurat bl-idejn jew permezz ta’ profil. Il-protokoll, l-immaniġġjar tal-kredenzjali, il-kontroll tal-apparat u l-irkupru jiddeterminaw l-għażla.
L-app u l-klijent nattiv jinsabu fi saffi differenti
Il-klijent VPN integrat ta’ Apple fil-prattika huwa klijent IKEv2. Il-formola manwali għadha telenka l- L2TP fuq IPsec u l-għażliet Cisco IPsec li saru skaduti, iżda m’hemmx qasam tat-trasport tal-fornitur u lanqas post fejn twaħħal konfigurazzjoni OpenVPN jew WireGuard. Inti jew timla formola f’Settings > Ġenerali > VPN & Ġestjoni tal-Apparat jew timporta profil b’tagħbija VPN; il-wiċċ huwa indirizz tas-server, żewġ identitajiet, metodu ta’ awtentikazzjoni u regoli fakultattivi fuq talba.
L-app tal-fornitur taħdem saff wieħed ogħla. Hija tforni fornitur tat-tunnel tal-pakketti Network Extension, għalhekk il-kodiċi tal-protokoll u l-loġika tat-tħassir jgħixu fl-app u iOS sempliċement jgħaddi l-pakketti. Xi apps jimplimentaw WireGuard jew OpenVPN, oħrajn trasport moħbi tagħhom, u ftit biss jinstallaw profil IKEv2 u jmexxu l-klijent nattiv wara skrin isbaħ. Dan l-aħħar grupp huwa r-raġuni għaliex app kontra profil kultant hija għażla falza.
Il-konsegwenza hija prattika: fajl .ovpn jew WireGuard mhuwiex sostitut għal dawk il-qasmiet, għax il-ħsieb tal-idejn huwa protokoll ieħor.
Aqra t-tagħbija qabel tqabbel il-karatteristiċi
Meta l-profil huwa IKEv2, iċ-ċwievet tat-tagħbija jispjegaw aktar fallimenti minn kwalunkwe tqabbil ta’ karatteristiċi. Id- dokument ta’ referenza tas-settings IKEv2 ta’ Apple jiddokumenta kull ċavetta; tagħbija mqassra tidher hekk:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Tliet qasmiet iġorru l-biċċa l-kbira tal-piż dijanjostiku. RemoteIdentifier huwa l-isem li l-klijent jistenna mis-server, għalhekk gateway wara NAT jew bilanċjatur tat-tagħbija li ċ-ċertifikat tiegħu jsemmi l-ġabra minflok l-indirizz jonqos anki jekk l-indirizz huwa tajjeb. LocalIdentifier hija l-identità li s-server jaħsibha li int, u bl-awtentikazzjoni b’ċertifikat trid taqbel mal-identità mwaħħla mal-kont tiegħek. ServerCertificateIssuerCommonName jorbot l-CA li toħroġ, għalhekk profil jista’ jonqos fil-jum li jiġi maħruġ mill-ġdid iċ-ċertifikat, mingħajr ebda messaġġ ta’ żball li jsemmi ċ-ċertifikati.
Jekk AuthenticationMethod huwa ugwali għal SharedSecret, is-server qed jagħmel awtentikazzjoni tal-utent EAP u s-sigriet li ngħatajt huwa fil-fatt kredenzjali tal-kont. Dan huwa importanti meta fornitur jibgħat żewġ dokumenti, wieħed għall-isem tal-utent u l-password u ieħor għaċ-ċertifikat, u wieħed biss jaqbel ma’ dak li importajt.
X’tista’ tagħmel l-app u l-klijent nattiv le
L-għażla tal-protokoll hija l-vantaġġ ovvju. Jekk is-server tiegħek jitkellem WireGuard jew OpenVPN, l-app hija l-uniku klijent iOS li jista’ jużah, u l-editjar tal-formola nattiva mhux se jikkonċedih. App tista’ wkoll timplimenta tunnel maqsum skont id-destinazzjoni jew l-app, l-immaniġġjar tad-DNS tagħha, blokk bl-istil kill switch, għażla tas-server u qgħad mill-ġdid imqabbad man-netwerk tagħha.
Il-prezz huwa software li ma awditjajtx, li jaħdem bil-privileġġi ta’ estensjoni tan-netwerk. Il-kwalità tvarja aktar milli jissuġġerixxu l-karti tal-maħżen: app waħda terġa’ tikkonnettja nadif filwaqt li oħra tnixxi għal ftit sekondi wara bidla fin-netwerk, u l-kill switch ġewwa l-app hija karatteristika ta’ dik l-app, mhux ta’ iOS. Fuq apparat ġestit, iċċekkja l-ewwel il-lista approvata.
X’jagħmel sew il-profil IKEv2 integrat
Inqas partijiet li jiċċaqilqu huwa l-argument kollu. Il-klijent IKEv2 u l-munzell IPsec tiegħu jiġu mas-sistema operattiva, għalhekk m’hemmx estensjoni li tista’ taqa’, lanqas proċess għal kull app li jrid jinżamm ħaj, u lanqas ċiklu ta’ aġġornament ta’ parti terza bejnek u tunnel li jaħdem. Profil jista’ wkoll jiġi msakkar: fuq apparat issorveljat l-utent ma jistax ineħħi dak li installa l-immaniġġjar, u Always On VPN, li jerġa’ jikkonnettja fuq kull netwerk mingħajr swiċċ tal-utent, jeżisti biss f’dik il-forma ssorveljata u ġestita bil-profil.
Li ma jagħtix il-passaġġ integrat huwa l-flessibbiltà. M’hemmx VPN għal kull app mingħajr apps ġestiti, m’hemmx kill switch għall-utent, u m’hemmx trasport li jidher qisu HTTPS fuq netwerk li jimblokka IPsec. F’netwerks tal-lukandi li jitfgħu UDP 500 u 4500, l-IKEv2 integrat m’għandux triq ta’ riżerva.
Tabella tad-deċiżjoni li ssolvi l-biċċa l-kbira tal-każijiet
Fil-prattika l-mistoqsija tal-protokoll tiddeċiedi l-biċċa l-kbira tal-każijiet qabel ma l-karatteristiċi jibdew jgħoddu.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Żewġ ringieli jixirqilhom ħarsa oħra. Ir-rekwiżit għal kull app fuq telefon personali huwa l-każ li n-nies jaqraw ħażin: is-setting jeżisti f’iOS imma jmexxih l-immaniġġjar, għalhekk apparat mhux ġestit mhux se joffrih. Netwerk imblukkat mhuwiex raġuni biex ma tafdax IKEv2; hija r-raġuni għaliex teżisti l-app tal-fornitur.
Ivverifika l-għażla b’prova waħda
Ittestja l-modi ta’ falliment, mhux il-buttuna tal-konnessjoni. Ikkonnettja darba, ikkonferma li jidher l-indikatur VPN, imbagħad iftaħ paġna li tirritorna l-indirizz pubbliku tiegħek u qabbel mal-preċedenti. Aqleb mill-Wi-Fi għad-data mobbli mingħajr ma tmiss il-VPN u osserva l-qgħad mill-ġdid, imbagħad għaddi t-telefon mill-modalità ajruplan. Erġa’ ibda u ara jekk it-tunnel jerġax lura waħdu: profil b’OnDemandEnabled għandu, filwaqt li ħafna apps iridu jinfetħu l-ewwel.
Meta ma jerġax lura, aqsam il-falliment skont jekk hemmx tunnel. L-ebda indikatur VPN ifisser li t-tunnel qatt ma tela’: jew il-ħsieb tal-idejn falla fuq RemoteIdentifier, il-CA mwaħħla jew kredenzjali, jew il-konnessjoni qatt ma ġiet provata għax ir-regola fuq talba ma qabqletx u ebda app ma bdietu. Indikatur bi trajfiku li jonqos ifisser tħassir, DNS jew politika n-naħa tas-server, u l-installazzjoni mill-ġdid tal-klijent ma tmiss xejn minn dan.
Lista qasira biex l-apparat ikun spjegabbli għall-persuna li jmiss:
- entrata VPN waħda, mhux tnejn;
- il-profil jew l-app imsejħa għas-server li magħha tikkonnettja;
- il-valuri tal-identità miktuba fejn tista’ ssibhom.
Ibda bir-ringiela tal-protokoll fit-tabella, u waqaf hemm jekk tweġib il-mistoqsija.