Osebni VPN ali paketni tunel: dva modela VPN za iPhone

Dve aplikaciji za iPhone lahko obe dodata vnos VPN v Nastavitvah, obe se imenujeta odjemalca VPN in skoraj ne delita nobene izvedbe. Apple eno od teh integracij imenuje Osebni VPN, in prav to ime ustvarja večino zmede. Osebni VPN je API za ustvarjanje in upravljanje konfiguracij, ki uporabljajo vgrajeno izvedbo IPsec ali IKEv2. Ponudnik paketnega tunela je drugi model: aplikacija prinese razširitev, ki izvaja odjemalsko stran lastnega protokola. Vse, kar ljudje pozneje sklepajo iz te oznake, od šifer do lastništva in do tega, ali mora biti telefon upravljan, je sklep in ne izjava.

Kdo izvaja tunel

Ta delitev odloči, kdo je odgovoren, ko se kaj pokvari. Pri vgrajenem IPsec ali IKEv2 je stroj stanj tunela v lasti iOS, aplikacija pa ima konfiguracijo in gumbe. Pri ponudniku ima aplikacija oboje, zato napaka protokola postane posodobitev aplikacije namesto posodobitve operacijskega sistema.

Primerjava je kratka, če vprašate, kdo izvaja protokol.

Dokumentacija Osebnega VPN omenja tudi izrecno zahtevo za uporabnikovo odobritev, ko aplikacija prvič shrani konfiguracijo, kar spada k temu modelu in ne k aplikacijam VPN na splošno.

Dve trditvi o oznaki, ki ju je vredno opustiti

Prva je, da Osebni VPN izbere šifro. Ne; dogovorjena zbirka prihaja iz protokola in njegove konfiguracije, oznaka Osebni pa ne pove ničesar o tem, katero boste dobili. Druga je, da Osebni VPN pomeni posrednik ali omejen tunel. Pomeni vgrajeni IPsec ali IKEv2, kar je poln tunel vsakič, ko poti tako pravijo.

Zato prisotnost aplikacije ni dokaz o žičnem protokolu. Odjemalec tretje strani, ki govori WireGuard ali OpenVPN, je po zgradbi aplikacija ponudnika, ker iOS teh protokolov ne izvaja izvorno.

Zakaj poslovna formulacija zavaja

Applova dokumentacija konfiguracije NETunnelProviderManager razvršča med običajne poslovne konfiguracije VPN. Ta formulacija je kategorija API in ljudi potiska k dvema nasprotnima napakama: predpostavki, da potrošniška aplikacija ne more uporabljati modela ponudnika, in predpostavki, da mora biti telefon zato pod nadzorom. Nobena ne sledi. Potrošniške aplikacije redno prinašajo ponudnike, nadzor pa je ločeno vprašanje o tem, kdo sme uveljavljati politiko.

Lastništvo upravljanja je to četrto vprašanje in je neodvisno od obeh modelov. Konfiguracija, ki jo namesti organizacija, nosi svojo identiteto, obseg prometa in pravila življenjskega cikla, in ta potujejo s profilom, ne pa z aplikacijo, ki je slučajno nameščena. Berite jih skupaj z modelom integracije, ker sta upravljan vgrajen profil in neupravljan profil ponudnika lahko na istem telefonu hkrati.

Preverite dokaz namesto posnetka zaslona

Posnetki zaslona so najslabši razpoložljivi dokaz, ker se združevanje v Nastavitvah med izdajami spreminja. Upravljan profil poimenuje svoj tip vsebine: vgrajen profil razglasi tip VPN, kot sta IKEv2 ali IPsec, profil ponudnika pa nosi podtip z identifikatorjem paketa ponudnika. To je preverljivo na napravi pred vami in preživi naslednjo prenovo.

Kar zadeva aplikacijo samo, uporabljeni razred odgovarja na isto vprašanje z druge strani: konfiguracijski objekti iz API-ja Osebnega VPN ali upravitelj ponudnika in njegova razširitev.

Nato izbirajte glede na to, kar operater dejansko ponuja. Kjer obstaja združljiv izvorni profil, ima vgrajena pot manj gibljivih delov in eno stvar manj za posodobitev. Kjer storitev potrebuje protokol, ki ga iOS ne prinese, je aplikacija ponudnika edina možnost in njen ritem izdaj postane del vašega tveganja.

Zapis hranite skupaj s povezavo

Avtentikacijo in politiko virov pritrdite na zapis povezave, ne na aplikacijo, da ponovna namestitev ne odnese modela odobritve s seboj. Ta zapis je tudi tisto, kar potrebuje inženir za podporo, ko se tunel dvigne in nič drugega ne deluje.

Vprašanje, ki si ga je vredno zastaviti na koncu, ni, kateri model je boljši. Je, kateri model podpira vaš operater in katerega lahko razhroščujete ob dveh zjutraj z orodji, ki jih res imate.