VPN na iPhone: profil natywny czy aplikacja dostawcy?

Trzy warunki decydują, jak skonfigurować VPN na iPhonie: jaki protokół oferuje serwer, czy telefon jest zarządzany prywatnie czy nadzorowany, oraz co ma się stać, gdy zmieni się sieć. Profil konfiguracji natywnej i aplikacja dostawcy to różne mechanizmy, a nie dwa sposoby wpisania tego samego adresu. Dopasowanie ich do tych warunków pozwala uniknąć większości konfiguracji, które zawodzą po pierwszym wyjściu z budynku.

Protokół jest pierwszym filtrem; drugim jest to, kto kontroluje urządzenie.

Dopasuj protokół przed sklepem z aplikacjami

iOS obsługuje natywne konfiguracje IKEv2, L2TP przez IPsec i Cisco IPsec, każdą z własnymi opcjami uwierzytelniania i polami profilu. Inne protokoły, w tym OpenVPN i WireGuard, przychodzą przez aplikację korzystającą z frameworka Network Extension. Pliku zbudowanego dla jednego nie można wybrać jako drugiego, i właśnie dlatego profil, który importuje się czysto, nadal może nie połączyć się. Przed wyborem klienta potwierdź protokół serwera.

Poproś dostawcę o dokładną konfigurację, której oczekuje dla iOS. Instrukcje dla komputerów często zakładają funkcje, których telefon nie udostępnia, a eksport przygotowany dla telefonu usuwa to zgadywanie.

Profil na poziomie systemu albo pakiet aplikacji

Profil natywny jest instalowany na poziomie systemu, więc połączenie może istnieć, zanim otworzy się jakakolwiek aplikacja, i może nim zarządzać ten, kto dostarczył profil. Aplikacja dostawcy pakuje tunel wewnątrz aplikacji, dając dostawcy miejsce na własny interfejs i funkcje. W telefonie służbowym zarządzany profil może zawierać certyfikaty i reguły dostępu do określonych zasobów, a zastąpienie go prywatną aplikacją nie jest równoważną wymianą. Zanim cokolwiek zmienisz, zapytaj administratora.

W telefonie prywatnym sprawdź źródło, zanim zatwierdzisz profil. Pełne eksporty i kody QR mogą zawierać dane logowania lub zaufany korzeń, więc traktuj je jak sekrety i trzymaj z dala od zrzutów ekranu i wątków czatu.

Co On Demand naprawdę obiecuje

On Demand może podnieść połączenie na warunkach zdefiniowanych przez Apple, a nadzorowany model Always On ma ostrzejsze zachowanie, którego prywatne urządzenie nie otrzymuje. Nie należy zakładać, że etykieta automatycznego łączenia w aplikacji konsumenckiej zapewnia jedno lub drugie. Praktyczne pytania brzmią: co dzieje się, zanim tunel będzie dostępny, co dzieje się po ręcznym rozłączeniu i co dzieje się przy ponownym uruchomieniu telefonu. Automatyczne ponowne łączenie i blokowanie ruchu poza tunelem to osobne obietnice.

Zasięg to trzecie pytanie: konfiguracja może przenosić cały ruch internetowy, zestaw prywatnych celów albo tylko zarządzane aplikacje.

Przetestuj przełączenia i odwołanie

Najpierw dokończ logowanie w portalu Wi-Fi przez zwykłe okno iOS, ponieważ portal wymuszający nie pozwoli ustanowić tunelu. Potem przetestuj przejścia, których naprawdę doświadczasz: z Wi-Fi do sieci komórkowej, z komórkowej z powrotem do Wi-Fi i blokadę ekranu przy bezczynnym połączeniu. Zanotuj, czy tunel się odtwarza i czy aplikacja odtwarza się razem z nim. Nazwa protokołu nie gwarantuje nieprzerwanego połączenia podczas przełączenia.

Zapisany region, dozwolona lokalizacja urządzenia i trwające logowanie do konta nie są miarami publicznego wyjścia. Przetestuj zamierzoną aplikację i obie rodziny adresów, gdzie to istotne, kontrolą, która raportuje, co naprawdę się stało.

W przypadku zgubionego telefonu potwierdź źródło profilu i proces odwołania. Usunięcie lokalnej aplikacji niekoniecznie usuwa jej zdalne upoważnienie.