VPN на iPhone: нативный профиль или приложение провайдера?

Три условия определяют, как настроить VPN на iPhone: какой протокол предлагает сервер, управляется ли телефон лично или находится под надзором, и что должно произойти при смене сети. Нативный профиль конфигурации и приложение провайдера — разные механизмы, а не два способа ввести один и тот же адрес. Согласование их с этими условиями избавляет от большинства настроек, которые перестают работать после первого выхода из здания.

Протокол — первый фильтр; второй — кто контролирует устройство.

Согласуйте протокол до магазина приложений

iOS поддерживает нативные конфигурации IKEv2, L2TP поверх IPsec и Cisco IPsec, каждую со своими параметрами аутентификации и полями профиля. Другие протоколы, включая OpenVPN и WireGuard, приходят через приложение, использующее платформу Network Extension. Файл, созданный для одного, нельзя выбрать как другой, и именно поэтому профиль, который импортируется чисто, всё равно может не подключиться. Подтвердите протокол сервера, прежде чем выбирать клиент.

Запросите у провайдера точную конфигурацию, которую он ожидает для iOS. Инструкции для компьютера часто предполагают функции, которых телефон не предоставляет, а экспорт, предназначенный для телефона, убирает догадки.

Профиль на уровне системы или пакет приложения

Нативный профиль устанавливается на уровне системы, поэтому подключение может существовать до открытия любого приложения и управляться тем, кто предоставил профиль. Приложение провайдера упаковывает туннель внутрь приложения, давая провайдеру место для собственного интерфейса и функций. На рабочем телефоне управляемый профиль может нести сертификаты и правила доступа к определённым ресурсам, и замена его личным приложением не является равноценным обменом. Спросите администратора, прежде чем что-либо менять.

На личном телефоне проверьте источник, прежде чем одобрять профиль. Полные экспорты и QR-коды могут содержать учётные данные или доверенный корень, поэтому обращайтесь с ними как с секретами и держите их вне скриншотов и переписок.

Что On Demand на самом деле обещает

On Demand может поднимать соединение на условиях, определённых Apple, а модель Always On под надзором ведёт себя строже, чего личное устройство не получает. Не следует предполагать, что метка автоподключения в потребительском приложении обеспечивает хоть одно из двух. Практические вопросы таковы: что происходит до того, как туннель станет доступен, что происходит после ручного отключения и что происходит при перезапуске телефона. Автоматическое переподключение и блокировка трафика вне туннеля — разные обещания.

Охват — третий вопрос: конфигурация может нести весь интернет-трафик, набор частных пунктов назначения или только управляемые приложения.

Проверьте переключения и отзыв

Сначала завершите вход на портал Wi-Fi через обычный запрос iOS, потому что принудительный портал не даст туннелю установиться. Затем проверьте переходы, которые вы действительно переживаете: с Wi-Fi на мобильную сеть, с мобильной обратно на Wi-Fi и блокировку экрана при бездействующем соединении. Отметьте, восстанавливается ли туннель и восстанавливается ли вместе с ним приложение. Название протокола не гарантирует непрерывного вызова при переключении.

Сохранённый регион, разрешённое местоположение устройства и продолжающийся вход в аккаунт не являются измерениями публичного выхода. Проверьте целевое приложение и оба семейства адресов, где это уместно, с помощью проверки, которая сообщает, что произошло на самом деле.

Для потерянного телефона подтвердите источник профиля и процесс отзыва. Удаление локального приложения не обязательно убирает его удалённую авторизацию.