Personleg VPN eller pakketunnel: to VPN-modellar for iPhone

To iPhone-appar kan begge leggje inn ein VPN-oppføring i Innstillingar, begge kalle seg VPN-klientar og nesten ikkje dele nokon implementasjon. Apple kallar ein av desse integrasjonane Personleg VPN, og det namnet skapar mesteparten av forvirringa. Personleg VPN er eit API for å lage og administrere konfigurasjonar som brukar den innebygde IPsec- eller IKEv2-implementasjonen. Ein pakketunnelleverandør er den andre modellen: appen leverer ei utviding som implementerer klientsida av sin eigen protokoll. Alt folk utleier frå etiketten etterpå, frå chiffer til eigarskap til kvarvidt telefonen må administrerast, er slutning og ikkje utsegn.

Kven implementerer tunnelen

Delinga avgjer kven som er ansvarleg når noko går i stykker. Med innebygd IPsec eller IKEv2 eig iOS tilstandsmaskinen til tunnelen, og appen eig konfigurasjonen og knappane. Med ein leverandør eig appen begge, så ein protokollfeil blir ei appoppdatering i staden for ei operativsystemoppdatering.

Samanlikninga er kort viss du spør kven som implementerer protokollen.

dokumentasjonen for Personleg VPN nemner også den eksplisitte brukarautorisasjonsførespurnaden når ein app lagrar ein konfigurasjon for første gong, noko som høyrer til den modellen og ikkje til VPN-appar generelt.

To påstandar om etiketten som det er verdt å leggje bort

Den første er at Personleg VPN vel eit chiffer. Det gjer han ikkje; suiten som blir forhandla fram kjem frå protokollen og konfigurasjonen, og ein Personleg-etikett seier ingenting om kva du får. Den andre er at Personleg VPN antydar ein proxy eller ein avgrensa tunnel. Det antydar innebygd IPsec eller IKEv2, som er ein full tunnel når rutinga seier det.

Tilstadeveret av ein app er derfor ikkje prov om trådprotokollen. Ein tredjepartsklient som snakkar WireGuard eller OpenVPN, er konstruksjonsmessig ein leverandørapp, fordi iOS ikkje implementerer desse protokollane nativt.

Kvifor bedriftsformuleringa villeder

Apples dokumentasjon klassifiserer NETunnelProviderManager-konfigurasjonar som vanlege bedrifts-VPN-konfigurasjonar. Den formuleringa er ein API-kategori, og ho skyv folk mot to motsette feil: å anta at ein forbrukarapp ikkje kan bruke leverandørmodellen, og å anta at telefonen må vere under tilsyn for det. Ingen av delane følgjer. Forbrukarappar leverer leverandørar rutinemessig, og tilsyn er eit eige spørsmål om kven som kan handheve policy.

Administrasjonseigarskap er det fjerde spørsmålet, og det er uavhengig av begge modellane. Ein konfigurasjon som blir installert av ein organisasjon, ber sin eigen identitet, trafikkomfang og livssyklusreglar, og dei reiser med profilen og ikkje med appen som tilfeldigvis er installert. Les dei saman med integrasjonsmodellen, fordi ein administrert innebygd profil og ein uadministrert leverandørprofil kan liggje på same telefon samtidig.

Sjekk provet i staden for skjermbildet

Skjermbilete er det dårlegaste provet som finst, fordi grupperinga i Innstillingar endrar seg mellom utgjevingar. Ein administrert profil namngjev sin eigen nyttelasttype: ein innebygd profil erklærer ein VPN-type som IKEv2 eller IPsec, medan ein leverandørprofil ber ein undertype som namngjev bundle-id-en til leverandøren. Det er kontrollerbart på eininga framfor deg, og det overlever neste redesign.

For sjølve appen svarar klassen som blir brukt på det same spørsmålet frå den andre sida: konfigurasjonsobjekt frå Personleg VPN-API-et, eller ein leverandørhandsamar og utvidinga hans.

Vel deretter etter kva operatøren faktisk leverer. Der det finst ein kompatibel innebygd profil, har den innebygde vegen færre bevegelege delar og éin ting mindre å oppdatere. Der tenesta treng ein protokoll iOS ikkje leverer, er ein leverandørapp det einaste alternativet, og utgjevingsstakten blir ein del av risikoen din.

Ta vare på posten saman med tilkoplinga

Fest autentisering og ressurspolicy til tilkoplingsposten i staden for til appen, slik at ein ominstallasjon ikkje tek med seg autorisasjonsmodellen. Den posten er også det ein støtteingeniør treng når tunnelen kjem opp og ingenting anna verkar.

Spørsmålet som er verdt å stille til slutt, er ikkje kva modell som er betre. Det er kva modell operatøren din støttar, og kva du kan feilsøkje klokka to om natta med verktøya du faktisk har.