VPN-app eller innebygd IKEv2 på iPhone: slik vel du

Førre veke rakk ein kollega meg iPhonen sin med to VPN-oppføringar i Innstillingar: den eine etterlaten av ein leverandørapp, den andre frå ein IKEv2-profil kopiert frå ei støtteside. Dei er ikkje konkurrerande versjonar av det same. Ein leverandørapp er ein behaldar som kan ta med si eiga tunnelkode, medan Apples innebygde klient er ein IKEv2-klient, konfigurert for hand eller via ein profil. Protokoll, handsaming av påloggingsinformasjon, einingkontroll og gjenoppretting avgjer valet.

Appen og den innebygde klienten ligg på ulike lag

Apples innebygde VPN-klient er i praksis ein IKEv2-klient. Det manuelle skjemaet listar framleis den utdaterte L2TP over IPsec og Cisco IPsec-alternativa, men det finst ikkje noko felt for transporten til leverandøren og ingen stad å lime inn ein OpenVPN- eller WireGuard-konfigurasjon. Du fyller anten ut eit skjema under Innstillingar > Generelt > VPN & Eininghandsaming eller importerer ein profil med ei VPN-nyttelast; flata er ei serveradresse, to identitetar, ein autentiseringsmetode og valfrie on demand-reglar.

Ein leverandørapp arbeider eitt lag høgare. Han leverer ein Network Extension-pakketunnel-leverandør, slik at protokollkoden og rutingslogikken ligg i appen og iOS berre sender pakkar vidare. Nokre apper implementerer WireGuard eller OpenVPN, andre ein eigen tilslørt transport, og nokre få installerer berre ein IKEv2-profil og styrer den innebygde klienten bak ein penare skjerm. Den siste gruppa er grunnen til at app kontra profil nokre gonger er eit falskt val.

Konsekvensen er praktisk: ei .ovpn- eller WireGuard-fil erstattar ikkje desse felta, fordi handtrykket er ein annan protokoll.

Les nyttelasta før du samanliknar funksjonar

Når profilen er IKEv2, forklarar nyttelastnøklane fleire feil enn noka funksjonssamanlikning. Apples referanse for IKEv2-innstillingar dokumenterer kvar nøkkel; ei trimma nyttelast ser slik ut:

<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>

Tre felt ber mesteparten av den diagnostiske vekta. RemoteIdentifier er namnet klienten ventar at serveren presenterer, så ein gateway bak NAT eller ein lastbalansar der sertifikatet namngir poolen i staden for adressa, feilar sjølv om adressa er rett. LocalIdentifier er identiteten serveren trur du har, og med sertifikatautentisering må han samsvare med identiteten som er knytt til kontoen din. ServerCertificateIssuerCommonName festar den utstedande CA-en, så ein profil kan feile den dagen sertifikatet blir utstedt på nytt, utan at noka feilmelding nemner sertifikat.

Viss AuthenticationMethod er SharedSecret, utfører serveren EAP-brukarautentisering, og løyndomen du fekk er eigentleg ei kontoinnlogging. Det betyr noko når ein leverandør sender to dokument, eitt for brukarnamn og passord og eitt for eit sertifikat, og berre eitt passar med det du importerte.

Kva appen kan og den innebygde klienten ikkje kan

Protokollvalet er den openberre fordelen. Viss serveren din snakkar WireGuard eller OpenVPN, er ein app den einaste iOS-klienten som kan bruke det, og å redigere det innebygde skjemaet forhandlar det ikkje fram. Ein app kan også implementere delt tunnel etter destinasjon eller app, eigen DNS-handsaming, ei blokkering i kill switch-stil, serverval og gjenoppkopling tilpassa sitt eige nettverk.

Prisen er programvare du ikkje har revidert, som køyrer med rettane til ei nettverksutviding. Kvaliteten varierer meir enn butikkoppføringane antyder: éin app koplar reint til igjen medan ein annan lek i nokre sekund etter eit nettverksbyte, og ein kill switch inne i appen er ein funksjon i den appen, ikkje i iOS. På ei administrert eining bør du sjekke den godkjende lista først.

Kva den innebygde IKEv2-profilen gjer riktig

Færre bevegelege delar er heile argumentet. IKEv2-klienten og IPsec-stakken følgjer med operativsystemet, så det er inga utviding som kan krasje, ingen prosess per app som må haldast i live, og ingen tredjeparts oppdateringssyklus mellom deg og ein fungerande tunnel. Ein profil kan også låsast: på ei overvaka eining kan brukaren ikkje fjerne det administrasjonen har installert, og Always On VPN, som koplar til på nytt på alle nettverk utan ein brukarbrytar, finst berre i den overvaka, profiladministrerte forma.

Det den innebygde vegen ikkje gir deg, er fleksibilitet. Det finst ingen VPN per app utan administrerte apper, ingen kill switch for brukaren og ingen transport som ser ut som HTTPS på eit nettverk som blokkerer IPsec. På hotellnettverk som slepp UDP 500 og 4500, har innebygd IKEv2 ingen reserveveg.

Ein beslutningstabell som avgjer dei fleste tilfelle

I praksis avgjer protokollspørsmålet dei fleste tilfelle før funksjonane betyr noko.

To radar fortener eit nytt blikk. Eit krav per app på ein personleg telefon er tilfellet folk les feil: innstillinga finst i iOS, men blir styrt av administrasjonen, så ei ikkje-administrert eining vil ikkje tilby ho. Eit blokkert nettverk er ikkje grunn til å mistru IKEv2; det er grunnen til at appen til leverandøren finst.

Stadfest valet med éin testkøyring

Test feiltilstandane, ikkje kople til-knappen. Kople til éin gong, stadfest at VPN-indikatoren visest, opne deretter ei side som sender den offentlege adressa di tilbake og samanlikn ho med den førre. Bytt frå Wi-Fi til mobildata utan å røre VPN og sjå etter ei gjenoppkopling, og ta deretter telefonen gjennom flymodus. Start på nytt og sjå om tunnelen kjem tilbake av seg sjølv: ein profil med OnDemandEnabled bør gjere det, medan mange apper må opnast først.

Når han ikkje kjem tilbake, del feilen etter om det i det heile finst ein tunnel. Ingen VPN-indikator betyr at tunnelen aldri kom opp: anten feila handtrykket på RemoteIdentifier, den festa CA-en eller ein påloggingsdetalj, eller tilkoplinga vart aldri forsøkt fordi on demand-regelen ikkje passa og ingen app starta han. Ein indikator med feilande trafikk betyr ruting, DNS eller serverpolicy, og å installere klienten på nytt rører ingenting av det.

Ei kort liste så eininga kan forklarast for neste person:

• éin VPN-oppføring, ikkje to;
• profilen eller appen kalla opp etter serveren han koplar til;
• identitetsverdiane skrivne ned der du kan finne dei.

Byrja med protokollrada i tabellen, og stopp der om ho svarar på spørsmålet.