Лични VPN или пакетни тунел: два VPN модела за iPhone

Две iPhone апликације могу обе да ставе VPN ставку у Подешавања, обе да се називају VPN клијентима и да готово не деле никакву имплементацију. Apple једну од тих интеграција назива Лични VPN, и управо то име ствара већину забуне. Лични VPN је API за креирање и управљање конфигурацијама које користе уграђену имплементацију IPsec или IKEv2. Добављач пакетног тунела је други модел: апликација испоручује екстензију која имплементира клијентску страну сопственог протокола. Све што људи потом изведу из те ознаке, од шифара до власништва и до тога мора ли телефон бити под управом, јесте закључак, а не тврдња.

Ко имплементира тунел

Ова подела одлучује ко је одговоран када се нешто поквари. Са уграђеним IPsec или IKEv2, iOS поседује машину стања тунела, а апликација поседује конфигурацију и дугмад. Са добављачем, апликација поседује обоје, па грешка протокола постаје ажурирање апликације уместо ажурирања оперативног система.

Поређење је кратко ако питате ко имплементира протокол.

Документација Личног VPN-а такође помиње експлицитни захтев за ауторизацију корисника када апликација први пут сачува конфигурацију, што припада том моделу, а не VPN апликацијама уопште.

Две тврдње о ознаци којих вреди се одрећи

Прва је да Лични VPN бира шифру. Не бира; договорени скуп долази из протокола и његове конфигурације, а ознака Лични не говори ништа о томе коју ћете добити. Друга је да Лични VPN значи прокси или ограничен тунел. Значи уграђени IPsec или IKEv2, што је пун тунел кад год руте то кажу.

Зато присуство апликације није доказ о жичаном протоколу. Клијент треће стране који говори WireGuard или OpenVPN по конструкцији је добављачка апликација, јер iOS те протоколе не имплементира нативно.

Зашто корпоративна формулација доводи у заблуду

Apple документација класификује NETunnelProviderManager конфигурације као обичне корпоративне VPN конфигурације. Та формулација је API категорија и гура људе ка две супротне грешке: да претпоставе да потрошачка апликација не може да користи модел добављача и да претпоставе да телефон мора бити под надзором због тога. Ни једно не следи. Потрошачке апликације редовно испоручују добављаче, а надзор је одвојено питање о томе ко сме да спроводи политику.

Власништво управљања је то четврто питање и независно је од оба модела. Конфигурација коју инсталира организација носи сопствени идентитет, обим саобраћаја и правила животног циклуса, и она путују са профилом, а не са апликацијом која је случајно инсталирана. Читајте их уз модел интеграције, јер управљани уграђени профил и неуправљани профил добављача могу стајати на истом телефону истовремено.

Проверите доказ уместо снимка екрана

Снимци екрана су најгори доступни доказ, јер се груписање у Подешавањима мења између верзија. Управљани профил именује сопствени тип оптерећења: уграђени профил декларише VPN тип као што је IKEv2 или IPsec, док профил добављача носи подтип који именује идентификатор пакета добављача. То је проверљиво на уређају пред вама и преживљава следећи редизајн.

Што се тиче саме апликације, коришћена класа одговара на исто питање са друге стране: конфигурациони објекти из API-ја Личног VPN-а или менаџер добављача и његова екстензија.

Затим бирајте према ономе што оператер заиста испоручује. Тамо где постоји компатибилан нативни профил, уграђени пут има мање покретних делова и једну ствар мање за ажурирање. Тамо где услузи треба протокол који iOS не испоручује, апликација добављача је једина опција и њен ритам издавања постаје део вашег ризика.

Чувајте запис уз везу

Причврстите аутентификацију и политику ресурса за запис везе, а не за апликацију, да реинсталација не би понела модел ауторизације са собом. Тај запис је и оно што инжењеру подршке треба када се тунел подигне, а ништа друго не ради.

Питање које вреди поставити на крају није који је модел бољи. Већ који модел ваш оператер подржава, и који можете да отклањате грешке у два ујутру са алатима које заиста имате.