VPN на iPhone: власний профіль чи застосунок постачальника?

Три умови визначають, як налаштувати VPN на iPhone: який протокол пропонує сервер, чи телефон керується особисто чи під наглядом, і що має статися, коли змінюється мережа. Власний профіль конфігурації та застосунок постачальника — це різні механізми, а не два способи ввести ту саму адресу. Узгодження їх із цими умовами запобігає більшості налаштувань, які не працюють після першого виходу з будівлі.

Протокол — це перший фільтр; другий — хто керує пристроєм.

Узгодьте протокол до App Store

iOS вбудовано підтримує IKEv2, L2TP через IPsec і конфігурації Cisco IPsec, кожна з власними параметрами автентифікації та полями профілю. Інші протоколи, зокрема OpenVPN і WireGuard, надходять через застосунок, який використовує фреймворк Network Extension. Файл, створений для одного, не можна вибрати як інший, тому профіль, який чисто імпортується, все одно може не підключитися. Підтвердьте протокол сервера, перш ніж вибирати клієнт.

Попросіть у постачальника точну конфігурацію, яку він очікує для iOS. Інструкції для комп'ютерів часто припускають функції, яких телефон не надає, а експорт, призначений для телефона, усуває здогади.

Профіль на системному рівні або пакет застосунку

Власний профіль встановлюється на системному рівні, тому з'єднання може існувати до відкриття будь-якого застосунку і ним може керувати той, хто надав профіль. Застосунок постачальника вбудовує тунель у застосунок, даючи постачальнику місце для власного інтерфейсу та набору функцій. На робочому телефоні керований профіль може містити сертифікати й правила доступу до певних ресурсів, і заміна його особистим застосунком не є рівноцінною. Запитайте адміністратора, перш ніж щось змінювати.

На особистому телефоні перевірте джерело, перш ніж схвалювати профіль. Повні експорти та QR-коди можуть містити облікові дані або довірений корінь, тому ставтеся до них як до таємниць і тримайте подалі від знімків екрана та чатів.

Що насправді обіцяє On Demand

On Demand може підняти з'єднання за умов, визначених Apple, а модель Always On під наглядом має суворішу поведінку, якої особистий пристрій не отримує. Не слід припускати, що позначка автопідключення в споживчому застосунку забезпечує одне чи інше. Практичні питання: що відбувається до того, як тунель стане доступним, що після ручного відключення і що під час перезапуску телефона. Автоматичне повторне підключення та блокування трафіку поза тунелем — це окремі обіцянки.

Покриття — третє питання: конфігурація може передавати весь інтернет-трафік, набір приватних призначень або лише керовані застосунки.

Перевірте переходи та відкликання

Спочатку завершіть вхід на портал Wi-Fi через звичайне запрошення iOS, бо портал, що перехоплює, не дасть тунелю встановитися. Потім перевірте переходи, які ви справді відчуваєте: з Wi-Fi на стільникову мережу, зі стільникової назад на Wi-Fi і блокування екрана, коли з'єднання неактивне. Зауважте, чи відновлюється тунель і чи відновлюється разом із ним застосунок. Назва протоколу не гарантує безперервного виклику під час переходу.

Збережений регіон, дозволене місце пристрою та триваючий вхід в обліковий запис не є вимірюваннями публічного виходу. Перевірте потрібний застосунок і обидві родини адрес, де це доречно, використовуючи перевірку, яка повідомляє, що насправді сталося.

Для загубленого телефона підтвердьте джерело профілю та процес відкликання. Видалення локального застосунку не обов'язково прибирає його віддалений дозвіл.