Programu ya VPN au IKEv2 iliyojengwa ndani kwenye iPhone: jinsi ya kuchagua

Wiki iliyopita mwenzangu alinikabidhi iPhone yake ikiwa na maingizo mawili ya VPN katika Mipangilio: moja liliachwa na programu ya mtoa huduma, lingine likatoka kwenye wasifu wa IKEv2 uliobandikwa kutoka ukurasa wa usaidizi. Haya si matoleo yanayoshindana ya kitu kimoja. Programu ya mtoa huduma ni chombo kinachoweza kubeba msimbo wake wa handaki, ilhali mteja aliyejengwa ndani wa Apple ni mteja wa IKEv2, aliyesanidiwa kwa mkono au kwa wasifu. Itifaki, utunzaji wa vyeti vya kuingia, udhibiti wa kifaa na urejeshaji huamua chaguo.

Programu na mteja asilia ziko katika tabaka tofauti

Mteja wa VPN aliyejengwa ndani wa Apple kwa vitendo ni mteja wa IKEv2. Fomu ya mkono bado inaorodhesha L2TP juu ya IPsec na chaguo za Cisco IPsec zilizopitwa na wakati, lakini hakuna sehemu ya usafirishaji wa mtoa huduma na hakuna mahali pa kubandika usanidi wa OpenVPN au WireGuard. Unajaza fomu katika Mipangilio > Jumla > VPN & Usimamizi wa Kifaa au unaagiza wasifu wenye mzigo wa VPN; uso wake ni anwani ya seva, vitambulisho viwili, mbinu ya uthibitishaji na sheria za hiari zinazotegemea ombi.

Programu ya mtoa huduma hufanya kazi tabaka moja juu. Huleta mtoa huduma wa handaki la pakiti Network Extension, kwa hiyo msimbo wa itifaki na mantiki ya uelekezaji ziko ndani ya programu na iOS hupitisha pakiti tu. Programu zingine hutekeleza WireGuard au OpenVPN, zingine usafirishaji wao uliofichwa, na chache huweka wasifu wa IKEv2 tu na kuendesha mteja asilia nyuma ya skrini nzuri zaidi. Kundi hili la mwisho ndilo linalofanya chaguo la programu dhidi ya wasifu kuwa la uongo wakati mwingine.

Matokeo ni ya kiutendaji: faili ya .ovpn au WireGuard haichukui mahali pa sehemu hizo, kwa sababu kupeana mkono ni itifaki nyingine.

Soma mzigo kabla ya kulinganisha vipengele

Wasifu unapokuwa IKEv2, funguo za mzigo hueleza hitilafu nyingi kuliko ulinganisho wowote wa vipengele. Rejea ya mipangilio ya IKEv2 ya Apple inaeleza kila ufunguo; mzigo uliofupishwa unaonekana hivi:

<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>

Sehemu tatu hubeba sehemu kubwa ya uzito wa utambuzi. RemoteIdentifier ni jina ambalo mteja hutarajia seva iwasilishe, kwa hiyo lango lililo nyuma ya NAT au kibalancing cha mzigo ambacho cheti chake kinataja kundi badala ya anwani hushindwa ingawa anwani ni sahihi. LocalIdentifier ni utambulisho ambao seva inadhani wewe ni, na kwa uthibitishaji wa cheti lazima ulingane na utambulisho uliounganishwa na akaunti yako. ServerCertificateIssuerCommonName hubaniza CA inayotoa, kwa hiyo wasifu unaweza kushindwa siku cheti kinapotolewa upya, bila ujumbe wowote wa hitilafu kutaja vyeti.

Ikiwa AuthenticationMethod ni sawa na SharedSecret, seva inafanya uthibitishaji wa mtumiaji wa EAP na siri uliyopewa kwa kweli ni kitambulisho cha akaunti. Hilo ni muhimu wakati mtoa huduma anatuma hati mbili, moja kwa jina la mtumiaji na nenosiri na moja kwa cheti, na moja tu inalingana na uliyoingiza.

Kile programu inaweza kufanya na mteja asilia hawezi

Uchaguzi wa itifaki ni faida ya wazi. Ikiwa seva yako inazungumza WireGuard au OpenVPN, programu ndiyo mteja pekee wa iOS anayeweza kuitumia, na kuhariri fomu asilia hakutajadiliana hilo. Programu pia inaweza kutekeleza handaki lililogawanywa kwa lengo au programu, utunzaji wake wa DNS, kuzuia kwa mtindo wa kill switch, uchaguzi wa seva na kuunganisha upya kulikobadilishwa kwa mtandao wake.

Gharama ni programu ambayo hukuisajili, inayoendeshwa kwa ruhusa za kiendelezi cha mtandao. Ubora hutofautiana zaidi kuliko kadi za duka zinavyodokeza: programu moja huunganisha upya safi ilhali nyingine huvuja sekunde chache baada ya mtandao kubadilika, na kill switch ndani ya programu ni kipengele cha programu hiyo, si cha iOS. Kwenye kifaa kinachosimamiwa, angalia kwanza orodha iliyoidhinishwa.

Kile wasifu wa IKEv2 uliojengwa ndani hufanya vizuri

Vipuri vichache vinavyohama ni hoja yote. Mteja wa IKEv2 na rafu yake ya IPsec huja na mfumo wa uendeshaji, kwa hiyo hakuna kiendelezi kinachoweza kuanguka, hakuna mchakato kwa kila programu unaohitaji kuwa hai, na hakuna mzunguko wa masasisho ya mtu wa tatu kati yako na handaki linalofanya kazi. Wasifu pia unaweza kufungwa: kwenye kifaa kinachosimamiwa mtumiaji hawezi kuondoa kile kilichowekwa na usimamizi, na Always On VPN, inayounganisha upya kwenye mtandao wowote bila swichi ya mtumiaji, ipo tu katika umbo hilo linalosimamiwa na wasifu.

Kile ambacho njia iliyojengwa ndani haitoi ni kubadilika. Hakuna VPN kwa kila programu bila programu zinazosimamiwa, hakuna kill switch kwa mtumiaji, na hakuna usafirishaji unaofanana na HTTPS kwenye mtandao unaozuia IPsec. Katika mitandao ya hoteli inayotupa UDP 500 na 4500, IKEv2 iliyojengwa ndani haina njia ya akiba.

Jedwali la maamuzi linalotatua hali nyingi

Kwa vitendo swali la itifaki huamua hali nyingi kabla vipengele havijawa muhimu.

Safu mbili zinastahili mtazamo wa pili. Hitaji la kila programu kwenye simu ya kibinafsi ndilo hali ambayo watu huisoma vibaya: mpangilio upo katika iOS lakini unaendeshwa na usimamizi, kwa hiyo kifaa kisichosimamiwa hakitatoa hiyo. Mtandao uliozuiwa si sababu ya kutoamini IKEv2; ndiyo sababu programu ya mtoa huduma ipo.

Thibitisha chaguo kwa jaribio moja

Jaribu hali za kushindwa, si kitufe cha kuunganisha. Unganisha mara moja, hakikisha kiashiria cha VPN kinaonekana, kisha fungua ukurasa unaorudisha anwani yako ya umma na ulinganishe na ile ya awali. Hamisha kutoka Wi-Fi kwenda data ya simu bila kugusa VPN na uangalie kuunganisha upya, kisha pitisha simu kwenye hali ya ndege. Anzisha upya na uone kama handaki linarejea lenyewe: wasifu wenye OnDemandEnabled unapaswa kurejea, ilhali programu nyingi zinahitaji kufunguliwa kwanza.

Linaporejea, gawanya hitilafu kwa kuzingatia kama handaki lipo kabisa. Hakuna kiashiria cha VPN inamaanisha handaki halikupanda kamwe: ama kupeana mkono kulishindwa kwenye RemoteIdentifier, CA iliyobanwa au kitambulisho, au muunganisho haukujaribiwa kamwe kwa sababu sheria ya ombi haikulingana na hakuna programu iliyoianzisha. Kiashiria pamoja na trafiki inayoshindwa inamaanisha uelekezaji, DNS au sera ya upande wa seva, na kuweka upya mteja hakuhesabu lolote la hayo.

Orodha fupi ili kifaa kiweze kuelezewa kwa mtu anayefuata:

• ingizo moja la VPN, si mawili;
• wasifu au programu imepewa jina la seva inayounganisha;
• thamani za utambulisho zimeandikwa mahali unapoweza kuzipata.

Anza na safu ya itifaki kwenye jedwali, na simama hapo ikiwa inajibu swali.