Aplikacija VPN ali vgrajeni IKEv2 na iPhonu: kako izbrati
Aplikacija VPN za iPhone in vgrajeni odjemalec IKEv2 rešujeta različne težave. Najprej primerjajte podporo protokolom, preverjanje pristnosti, nadzor naprave in obnovitev.
Prejšnji teden mi je sodelavec podal svoj iPhone z dvema vnosoma VPN v Nastavitvah: enega je pustila aplikacija ponudnika, drugega profil IKEv2, prilepljen s strani za podporo. To nista konkurenčni različici iste stvari. Aplikacija ponudnika je vsebnik, ki lahko prinese lastno kodo tunela, medtem ko je vgrajeni Applov odjemalec odjemalec IKEv2, nastavljen ročno ali s profilom. O izbiri odločajo protokol, ravnanje s poverilnicami, nadzor naprave in obnovitev.
Aplikacija in izvorni odjemalec sta na različnih ravneh
Vgrajeni Applov odjemalec VPN je v praksi odjemalec IKEv2. Ročni obrazec še vedno navaja zastareli L2TP prek IPsec in možnosti Cisco IPsec, vendar ni polja za ponudnikov promet in nikjer ni mogoče prilepiti konfiguracije OpenVPN ali WireGuard. Bodisi izpolnite obrazec v Nastavitve > Splošno > VPN & Upravljanje naprave bodisi uvozite profil z vsebino VPN; površina je naslov strežnika, dve identiteti, metoda preverjanja pristnosti in neobvezna pravila na zahtevo.
Aplikacija ponudnika deluje raven višje. Priloži ponudnika paketnega tunela Network Extension, zato koda protokola in logika usmerjanja živita v aplikaciji, iOS pa samo prepušča pakete. Nekatere aplikacije izvajajo WireGuard ali OpenVPN, druge lasten zakrit promet, nekaj pa jih namesti le profil IKEv2 in upravlja izvorni odjemalec za lepšim zaslonom. Zaradi zadnje skupine je izbira aplikacija proti profilu včasih napačna.
Posledica je praktična: datoteka .ovpn ali WireGuard ne nadomesti teh polj, ker je rokovanje drug protokol.
Preberite vsebino, preden primerjate funkcije
Ko je profil IKEv2, ključi vsebine pojasnijo več napak kot katera koli primerjava funkcij. Applov referenčni opis nastavitev IKEv2 opiše vsak ključ; skrajšana vsebina je videti takole:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Tri polja nosijo večino diagnostične teže. RemoteIdentifier je ime, ki ga odjemalec pričakuje od strežnika, zato prehod za NAT ali razdelilnik obremenitve, katerega potrdilo navaja skupek namesto naslova, odpove, čeprav je naslov pravilen. LocalIdentifier je identiteta, ki vam jo strežnik pripiše, in pri preverjanju s potrdilom se mora ujemati z identiteto, povezano z vašim računom. ServerCertificateIssuerCommonName pripne izdajatelja CA, zato lahko profil odpove na dan ponovne izdaje potrdila, brez da bi katero sporočilo o napaki omenilo potrdila.
Če je AuthenticationMethod enako SharedSecret, strežnik izvaja uporabniško preverjanje EAP in skrivnost, ki ste jo prejeli, je v resnici poverilnica računa. To je pomembno, ko ponudnik pošlje dva dokumenta, enega za uporabniško ime in geslo ter enega za potrdilo, in le eden ustreza temu, kar ste uvozili.
Kaj aplikacija zmore in izvorni odjemalec ne
Izbira protokola je očitna prednost. Če vaš strežnik govori WireGuard ali OpenVPN, je aplikacija edini odjemalec iOS, ki ga lahko uporabi, in urejanje izvornega obrazca tega ne bo izpogajalo. Aplikacija lahko tudi izvede razdeljeni tunel po cilju ali aplikaciji, lastno ravnanje z DNS, blokado v slogu kill switch, izbiro strežnika in ponovno povezavo, prilagojeno svojemu omrežju.
Cena je programska oprema, ki je niste revidirali in teče z pravicami omrežne razširitve. Kakovost niha bolj, kot kažejo kartice v trgovini: ena aplikacija se poveže čisto, druga pa po spremembi omrežja nekaj sekund pušča promet, kill switch znotraj aplikacije pa je funkcija te aplikacije, ne iOS. Na upravljani napravi najprej preverite odobreni seznam.
Kaj vgrajeni profil IKEv2 naredi prav
Manj gibljivih delov je celoten argument. Odjemalec IKEv2 in njegov sklad IPsec sta del sistema, zato ni razširitve, ki bi se lahko zrušila, ni procesa za vsako aplikacijo, ki bi ga bilo treba ohranjati, in ni cikla posodobitev tretje strani med vami in delujočim tunelom. Profil je mogoče tudi zakleniti: na nadzorovanem omrežju uporabnik ne more odstraniti tega, kar je namestilo upravljanje, in Always On VPN, ki se znova poveže v vsakem omrežju brez uporabnikovega stikala, obstaja le v tej nadzorovani, s profilom upravljani obliki.
Česar vgrajena pot ne da, je prilagodljivost. Ni VPN za posamezno aplikacijo brez upravljanih aplikacij, ni kill switcha za uporabnika in ni prometa, ki bi bil v omrežju, ki blokira IPsec, videti kot HTTPS. V hotelskih omrežjih, ki zavržeta UDP 500 in 4500, vgrajeni IKEv2 nima rezerve.
Odločitvena tabela, ki reši večino primerov
V praksi vprašanje protokola odloči večino primerov, preden funkcije postanejo pomembne.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Dve vrstici si zaslužita drug pogled. Zahteva za posamezno aplikacijo na osebnem telefonu je primer, ki ga ljudje napačno berejo: nastavitev v iOS obstaja, vendar jo upravlja upravljanje, zato je neupravljana naprava ne bo ponudila. Blokirano omrežje ni razlog za nezaupanje IKEv2; je razlog, da aplikacija ponudnika obstaja.
Izbiro preverite z enim preskusom
Preizkusite načine napak, ne gumba za povezavo. Povežite se enkrat, potrdite, da se pojavi indikator VPN, nato odprite stran, ki vrne vaš javni naslov, in ga primerjajte s prejšnjim. Preklopite z Wi-Fi na mobilne podatke, ne da bi se dotaknili VPN, in opazujte ponovno povezavo, nato telefon speljite skozi letalski način. Znova zaženite in poglejte, ali se tunel vrne sam: profil z OnDemandEnabled bi se moral, medtem ko je treba veliko aplikacij najprej odpreti.
Ko se ne vrne, razdelite napako glede na to, ali tunel sploh obstaja. Brez indikatorja VPN tunel ni nikoli nastal: bodisi je rokovanje spodletelo na RemoteIdentifier, pripetem CA ali poverilnici, bodisi povezava ni bila nikoli poskušena, ker se pravilo na zahtevo ni ujemalo in je nobena aplikacija ni začela. Indikator z odpovedujočim prometom pomeni usmerjanje, DNS ali pravilnik na strani strežnika, in ponovna namestitev odjemalca se ničesar od tega ne dotakne.
Kratek seznam, da bo naprava razložljiva naslednji osebi:
- en vnos VPN, ne dva;
- profil ali aplikacija poimenovana po strežniku, s katerim se povezuje;
- vrednosti identitete zapisane tam, kjer jih najdete.
Začnite z vrstico protokola v tabeli in se tam ustavite, če odgovori na vprašanje.