VPN апликација или уграђени IKEv2 на iPhone-у: како изабрати
VPN апликација за iPhone и уграђени IKEv2 клијент решавају различите проблеме. Прво упоредите подршку протоколима, аутентификацију, контролу уређаја и опоравак.
Прошле недеље колега ми је пружио свој iPhone са два VPN уноса у Подешавањима: један је оставила апликација провајдера, други је из IKEv2 профила залепљен са странице подршке. То нису конкурентске верзије истог. Апликација провајдера је контејнер који може носити сопствени код тунела, док је Apple-ов уграђени клијент IKEv2 клијент, конфигурисан ручно или профилом. О избору одлучују протокол, руковање акредитивима, контрола уређаја и опоравак.
Апликација и изворни клијент налазе се на различитим слојевима
Apple-ов уграђени VPN клијент је у пракси IKEv2 клијент. Ручи образац још наводи застарели L2TP преко IPsec и Cisco IPsec опције, али нема поља за пренос провајдера ни места за лепљење OpenVPN или WireGuard конфигурације. Или попуните образац у Подешавања > Опште > VPN & Управљање уређајем или увезете профил са VPN садржајем; површина је адреса сервера, два идентитета, метода аутентификације и опциона правила на захтев.
Апликација провајдера ради слој више. Испоручује Network Extension провајдера пакетног тунела, па код протокола и логика рутирања живе у апликацији, а iOS само прослеђује пакете. Неке апликације имплементирају WireGuard или OpenVPN, друге сопствени замагљени пренос, а неколико их само инсталира IKEv2 профил и управља изворним клијентом иза лепшег екрана. Због те последње групе избор апликације наспрам профила понекад је лажан.
Последица је практична: датотека .ovpn или WireGuard не замењује та поља јер је руковање други протокол.
Прочитајте садржај пре него што упоредите функције
Када је профил IKEv2, кључеви садржаја објашњавају више кварова од било каквог поређења функција. Apple-ова референца за IKEv2 подешавања документује сваки кључ; скраћени садржај изгледа овако:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>Три поља носе већину дијагностичке тежине. RemoteIdentifier је назив који клијент очекује од сервера, па пролаз иза NAT-а или балансер оптерећења чији сертификат наводи групу уместо адресе не успева иако је адреса исправна. LocalIdentifier је идентитет који вам сервер приписује, а уз аутентификацију сертификатом мора одговарати идентитету повезаном са вашим налогом. ServerCertificateIssuerCommonName прикива издаваоца CA, па профил може да не успе на дан поновног издавања сертификата, без поруке о грешци која помиње сертификате.
Ако је AuthenticationMethod једнако SharedSecret, сервер спроводи EAP корисничку аутентификацију и тајна коју сте добили је заправо акредитив налога. То је важно када провајдер пошаље два документа, један за корисничко име и лозинку и један за сертификат, а само један одговара ономе што сте увезли.
Шта апликација може, а изворни клијент не
Избор протокола је очигледна предност. Ако ваш сервер говори WireGuard или OpenVPN, апликација је једини iOS клијент који га може користити, а уређивање изворног обрасца то неће договорити. Апликација може и да имплементира подељени тунел према одредишту или апликацији, сопствено руковање DNS-ом, блокаду у стилу kill switch-а, избор сервера и поновно повезивање прилагођено сопственој мрежи.
Цена је софтвер који нисте ревидирали и који ради са овлашћењима мрежног проширења. Квалитет варира више него што картице у продавници сугеришу: једна се апликација чисто поново повезује, а друга након промене мреже неколико секунди пропушта саобраћај, а kill switch унутар апликације је функција те апликације, не iOS-а. На управљаном уређају најпре проверите одобрену листу.
Шта уграђени IKEv2 профил ради како треба
Мање покретних делова је цео аргумент. IKEv2 клијент и његов IPsec стек долазе са системом, па нема проширења које може да се сруши, нема процеса по апликацији који треба одржавати живим и нема циклуса ажурирања треће стране између вас и тунела који ради. Профил може и да се закључа: на надгледаном уређају корисник не може да уклони оно што је инсталирала управа, а Always On VPN, који се поново повезује на свакој мрежи без корисничког прекидача, постоји само у том надгледаном, профилом управљаном облику.
Оно што уграђени пут не даје јесте флексибилност. Нема VPN-а по апликацији без управљаних апликација, нема kill switch-а за корисника ни преноса који би у мрежи која блокира IPsec изгледао као HTTPS. У хотелским мрежама које одбацују UDP 500 и 4500 уграђени IKEv2 нема резерву.
Табела одлука која решава већину случајева
У пракси питање протокола одлучује већину случајева пре него што функције постану важне.
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
Два реда заслужују други поглед. Захтев за поједину апликацију на личном телефону случај је који људи погрешно читају: подешавање постоји у iOS-у, али њиме управља управа, па га неуправљани уређај неће понудити. Блокирана мрежа није разлог за неповерење према IKEv2; то је разлог зашто апликација провајдера постоји.
Проверите избор једним тестом
Тестирајте начине квара, не дугме за повезивање. Повежите се једном, потврдите да се појави VPN индикатор, затим отворите страницу која враћа вашу јавну адресу и упоредите је са претходном. Пређите са Wi-Fi на мобилне податке без дирања VPN-а и пратите поновно повезивање, потом проведите телефон кроз авионски режим. Поново покрените и погледајте враћа ли се тунел сам: профил са OnDemandEnabled би требало, док многе апликације треба најпре отворити.
Када се не врати, поделите квар према томе постоји ли тунел уопште. Нема VPN индикатора значи да тунел никада није настао: или је руковање неуспешно на RemoteIdentifier, прикованом CA или акредитиву, или веза никада није покушана јер се правило на захтев није подударало и ниједна је апликација није покренула. Индикатор уз саобраћај који не успева значи усмеравање, DNS или правило на страни сервера, а поновна инсталација клијента не дира ништа од тога.
Кратка листа да уређај буде објашњив следећој особи:
- један VPN унос, не два;
- профил или апликација названа по серверу са којим се повезује;
- вредности идентитета записане тамо где их можете наћи.
Почните редом протокола у табели и зауставите се онде ако одговара на питање.