VPN personal sau tunel de pachete: două modele VPN pentru iPhone

Două aplicații iPhone pot ambele plasa o intrare VPN în Setări, ambele se pot numi clienți VPN și aproape nu împart nicio implementare. Apple numește una dintre aceste integrări VPN personal, iar acest nume produce cea mai mare parte a confuziei. VPN personal este un API pentru crearea și gestionarea configurațiilor care folosesc implementarea IPsec sau IKEv2 integrată. Un furnizor de tunel de pachete este celălalt model: aplicația livrează o extensie care implementează partea client a propriului protocol. Tot ce deduce lumea ulterior din etichetă, de la cifruri la proprietate și până la dacă telefonul trebuie administrat, este deducție, nu afirmație.

Cine implementează tunelul

Această împărțire decide cine este responsabil când ceva se strică. Cu IPsec sau IKEv2 integrat, iOS deține mașina de stări a tunelului, iar aplicația deține configurația și butoanele. Cu un furnizor, aplicația le deține pe ambele, așa că un defect de protocol devine o actualizare a aplicației în loc de una a sistemului de operare.

Comparația este scurtă dacă întrebi cine implementează protocolul.

Documentația VPN personal menționează și promptul explicit de autorizare a utilizatorului când o aplicație salvează pentru prima dată o configurație, ceea ce ține de acel model și nu de aplicațiile VPN în general.

Două afirmații despre etichetă de care merită să renunțăm

Prima este că VPN personal selectează un cifru. Nu o face; suita negociată provine din protocol și din configurația acestuia, iar eticheta Personal nu spune nimic despre care vei primi. A doua este că VPN personal implică un proxy sau un tunel limitat. Implică IPsec sau IKEv2 integrat, care este un tunel complet ori de câte ori rutele spun asta.

Prin urmare, prezența unei aplicații nu este dovadă despre protocolul de fir. Un client terț care vorbește WireGuard sau OpenVPN este prin construcție o aplicație de furnizor, pentru că iOS nu implementează acele protocoale nativ.

De ce formularea enterprise induce în eroare

Documentația Apple clasifică configurațiile NETunnelProviderManager drept configurații VPN enterprise obișnuite. Formularea aceea este o categorie de API și împinge oamenii către două erori opuse: să presupună că o aplicație de consum nu poate folosi modelul de furnizor și să presupună că telefonul trebuie supravegheat pentru asta. Niciuna nu decurge. Aplicațiile de consum livrează furnizori în mod obișnuit, iar supravegherea este o întrebare separată despre cine poate impune politici.

Proprietatea administrării este acea a patra întrebare și este independentă de ambele modele. O configurație instalată de o organizație poartă propria identitate, propria sferă de trafic și propriile reguli de ciclu de viață, iar acestea călătoresc cu profilul și nu cu aplicația care se întâmplă să fie instalată. Citește-le alături de modelul de integrare, pentru că un profil integrat administrat și un profil de furnizor neadministrat pot sta pe același telefon în același timp.

Verifică dovada, nu captura de ecran

Capturile de ecran sunt cea mai slabă dovadă disponibilă, pentru că gruparea din Setări se schimbă între versiuni. Un profil administrat își numește propriul tip de sarcină utilă: un profil integrat declară un tip de VPN precum IKEv2 sau IPsec, în timp ce un profil de furnizor poartă un subtip care numește identificatorul de pachet al furnizorului. Asta se poate verifica pe dispozitivul din fața ta și supraviețuiește următoarei reproiectări.

Cât despre aplicație, clasa folosită răspunde la aceeași întrebare din cealaltă parte: obiecte de configurare din API-ul VPN personal sau un manager de furnizor și extensia lui.

Apoi alege după ce furnizează efectiv operatorul. Acolo unde există un profil nativ compatibil, calea integrată are mai puține piese mobile și un lucru mai puțin de actualizat. Acolo unde serviciul are nevoie de un protocol pe care iOS nu îl livrează, o aplicație de furnizor este singura opțiune, iar ritmul ei de lansare devine parte din riscul tău.

Păstrează înregistrarea împreună cu conexiunea

Atașează autentificarea și politica de resurse la înregistrarea conexiunii, nu la aplicație, ca o reinstalare să nu ia cu ea modelul de autorizare. Acea înregistrare este și ceea ce are nevoie un inginer de suport când tunelul urcă și nimic altceva nu funcționează.

Întrebarea care merită pusă la final nu este care model este mai bun. Este care model este acceptat de operatorul tău și pe care îl poți depana la ora două dimineața cu instrumentele pe care chiar le ai.