iPhone پر VPN ایپ یا بلٹ اِن IKEv2: کیسے منتخب کریں
iPhone کی VPN ایپ اور بلٹ اِن IKEv2 کلائنٹ مختلف مسائل حل کرتے ہیں۔ پہلے پروٹوکول سپورٹ، توثیق، ڈیوائس کنٹرول اور بحالی کا موازنہ کریں۔
گزشتہ ہفتے ایک ساتھی نے اپنا iPhone مجھے تھمایا جس میں سیٹنگز میں دو VPN اندراج تھے: ایک فراہم کنندہ کی ایپ نے چھوڑا تھا، دوسرا کسی سپورٹ صفحے سے چسپاں کردہ IKEv2 پروفائل سے۔ یہ ایک ہی چیز کے مسابقتی ورژن نہیں ہیں۔ فراہم کنندہ کی ایپ ایک کنٹینر ہے جو اپنا ٹنل کوڈ ساتھ لا سکتا ہے، جبکہ Apple کا بلٹ اِن کلائنٹ IKEv2 کلائنٹ ہے جو ہاتھ سے یا پروفائل کے ذریعے ترتیب دیا جاتا ہے۔ پروٹوکول، اسناد کی دیکھ بھال، ڈیوائس کنٹرول اور بحالی انتخاب کا تعین کرتے ہیں۔
ایپ اور بلٹ اِن کلائنٹ مختلف سطحوں پر ہیں
Apple کا بلٹ اِن VPN کلائنٹ عملاً IKEv2 کلائنٹ ہے۔ دستی فارم اب بھی متروک IPsec پر L2TP اور Cisco IPsec اختیارات کی فہرست دیتا ہے، مگر فراہم کنندہ کی ترسیل کے لیے کوئی خانہ اور OpenVPN یا WireGuard ترتیب چسپاں کرنے کی جگہ نہیں۔ آپ یا تو سیٹنگز > عمومی > VPN & ڈیوائس مینجمنٹ میں فارم بھرتے ہیں یا VPN پے لوڈ والا پروفائل درآمد کرتے ہیں؛ سطح سرور کا پتہ، دو شناختیں، توثیق کا طریقہ اور اختیاری طلب پر مبنی قواعد ہیں۔
فراہم کنندہ کی ایپ ایک سطح اوپر کام کرتی ہے۔ یہ Network Extension پیکٹ ٹنل فراہم کنندہ فراہم کرتی ہے، لہٰذا پروٹوکول کوڈ اور روٹنگ منطق ایپ میں رہتے ہیں اور iOS صرف پیکٹ آگے بھیجتا ہے۔ کچھ ایپیں WireGuard یا OpenVPN نافذ کرتی ہیں، کچھ اپنی مبہم ترسیل، اور چند صرف IKEv2 پروفائل نصب کر کے بلٹ اِن کلائنٹ کو زیادہ خوبصورت اسکرین کے پیچھے چلاتی ہیں۔ اسی آخری گروہ کی وجہ سے ایپ بمقابلہ پروفائل کا انتخاب کبھی جھوٹا ہوتا ہے۔
نتیجہ عملی ہے: .ovpn یا WireGuard فائل ان خانوں کی جگہ نہیں لیتی، کیونکہ ہاتھ ملانا دوسرا پروٹوکول ہے۔
خصوصیات کا موازنہ کرنے سے پہلے پے لوڈ پڑھیں
جب پروفائل IKEv2 ہو، پے لوڈ کی کنجیاں کسی بھی خصوصیت کے موازنے سے زیادہ خرابیاں واضح کرتی ہیں۔ Apple کی IKEv2 سیٹنگز کی حوالہ ہر کلید کو دستاویز کرتی ہے؛ مختصر پے لوڈ ایسا دکھتا ہے:
<key>VPNType</key><string>IKEv2</string>
<key>RemoteAddress</key><string>vpn.example.net</string>
<key>RemoteIdentifier</key><string>vpn.example.net</string>
<key>LocalIdentifier</key><string>[email protected]</string>
<key>AuthenticationMethod</key><string>Certificate</string>
<key>ServerCertificateIssuerCommonName</key><string>Example Issuing CA</string>تین خانے تشخیصی وزن کا بیشتر حصہ اٹھاتے ہیں۔ RemoteIdentifier وہ نام ہے جو کلائنٹ سرور سے توقع کرتا ہے، لہٰذا NAT کے پیچھے گیٹ وے یا ایسا لوڈ بیلنسر جس کا سرٹیفکیٹ پتے کے بجائے پول کا نام دیتا ہے، پتہ درست ہونے کے باوجود ناکام ہوتا ہے۔ LocalIdentifier وہ شناخت ہے جو سرور آپ کو سمجھتا ہے، اور سرٹیفکیٹ توثیق میں اسے آپ کے اکاؤنٹ سے منسلک شناخت سے مطابق ہونا چاہیے۔ ServerCertificateIssuerCommonName جاری کرنے والے CA کو پن کرتا ہے، لہٰذا پروفائل سرٹیفکیٹ دوبارہ جاری ہونے کے دن ناکام ہو سکتا ہے، اور کوئی غلطی پیغام سرٹیفکیٹ کا ذکر نہیں کرتا۔
اگر AuthenticationMethod SharedSecret کے برابر ہو، سرور EAP صارف توثیق کر رہا ہے اور جو راز آپ کو دیا گیا وہ دراصل اکاؤنٹ کی سند ہے۔ یہ اس وقت اہم ہے جب فراہم کنندہ دو دستاویزات بھیجے، ایک صارف نام اور پاس ورڈ کے لیے اور ایک سرٹیفکیٹ کے لیے، اور صرف ایک آپ کی درآمد کے مطابق ہو۔
ایپ کیا کر سکتی ہے اور بلٹ اِن کلائنٹ نہیں
پروٹوکول کا انتخاب واضح فائدہ ہے۔ اگر آپ کا سرور WireGuard یا OpenVPN بولتا ہے، ایپ واحد iOS کلائنٹ ہے جو اسے استعمال کر سکتا ہے، اور بلٹ اِن فارم میں ترمیم اس پر بات چیت نہیں کرے گی۔ ایپ منزل یا ایپ کے لحاظ سے منقسم ٹنل، اپنی DNS دیکھ بھال، kill switch طرز کی روک، سرور کا انتخاب اور اپنے نیٹ ورک کے مطابق دوبارہ رابطہ بھی نافذ کر سکتی ہے۔
قیمت وہ سافٹ ویئر ہے جس کا آپ نے آڈٹ نہیں کیا اور جو نیٹ ورک ایکسٹینشن کے اختیارات سے چلتا ہے۔ معیار اسٹور کارڈز کے اشارے سے زیادہ بدلتا ہے: ایک ایپ صاف دوبارہ جڑتی ہے جبکہ دوسری نیٹ ورک تبدیلی کے بعد چند سیکنڈ لیک کرتی ہے، اور ایپ کے اندر kill switch اسی ایپ کی خصوصیت ہے، iOS کی نہیں۔ منظم ڈیوائس پر پہلے منظور شدہ فہرست دیکھیں۔
بلٹ اِن IKEv2 پروفائل کیا درست کرتا ہے
کم متحرک پرزے پوری دلیل ہیں۔ IKEv2 کلائنٹ اور اس کا IPsec اسٹیک نظام کے ساتھ آتے ہیں، لہٰذا کوئی ایکسٹینشن گر نہیں سکتا، ہر ایپ کے لیے کوئی عمل زندہ رکھنے کی ضرورت نہیں، اور آپ اور کام کرنے والے ٹنل کے درمیان کسی تیسرے فریق کے اپ ڈیٹ کا چکر نہیں۔ پروفائل کو قفل بھی کیا جا سکتا ہے: نگرانی شدہ ڈیوائس پر صارف وہ نہیں ہٹا سکتا جو انتظام نے نصب کیا، اور Always On VPN، جو صارف کے سوئچ کے بغیر کسی بھی نیٹ ورک پر دوبارہ جڑتا ہے، صرف اسی نگرانی شدہ، پروفائل کے زیرِ انتظام شکل میں موجود ہے۔
بلٹ اِن راستہ جو نہیں دیتا وہ لچک ہے۔ منظم ایپس کے بغیر فی ایپ VPN نہیں، صارف کے لیے kill switch نہیں، اور IPsec مسدود کرنے والے نیٹ ورک پر HTTPS جیسی نظر آنے والی ترسیل نہیں۔ ہوٹل نیٹ ورکس میں جو UDP 500 اور 4500 گرا دیتے ہیں، بلٹ اِن IKEv2 کے پاس کوئی متبادل راستہ نہیں۔
ایک فیصلہ جدول جو بیشتر صورتیں طے کرتا ہے
عملاً پروٹوکول کا سوال خصوصیات کے اہم ہونے سے پہلے بیشتر صورتیں طے کرتا ہے۔
| What you were given | Device situation | What to use |
|---|---|---|
| An .ovpn or WireGuard config | Personal phone | Provider app; the native form cannot load it |
| IKEv2 host plus CA name | Personal or managed | Profile, or the app's own IKEv2 mode |
| IKEv2 with username and secret | Personal phone | Either; the profile is simpler if you never switch servers |
| A management-installed profile | Supervised, MDM | Native client; do not add a second app entry |
| A per-app tunnelling requirement | Personal phone | App, or accept a full tunnel; iOS cannot split by app without management |
| IPsec blocked on your main network | Any | App with a transport that survives the block |
دو قطاریں دوسری نظر کے لائق ہیں۔ ذاتی فون پر فی ایپ تقاضا وہ صورت ہے جسے لوگ غلط پڑھتے ہیں: ترتیب iOS میں موجود ہے مگر انتظام اسے چلاتا ہے، لہٰذا غیر منظم ڈیوائس اسے پیش نہیں کرے گی۔ مسدود نیٹ ورک IKEv2 پر عدم اعتماد کی وجہ نہیں؛ یہی وجہ ہے کہ فراہم کنندہ کی ایپ موجود ہے۔
انتخاب کو ایک آزمائش سے جانچیں
ناکامی کے طریقوں کو آزمائیں، کنیکٹ بٹن کو نہیں۔ ایک بار جڑیں، تصدیق کریں کہ VPN اشارہ ظاہر ہوتا ہے، پھر ایسا صفحہ کھولیں جو آپ کا عوامی پتہ واپس دیتا ہے اور اسے پچھلے سے موازنہ کریں۔ VPN کو چھوئے بغیر Wi-Fi سے موبائل ڈیٹا پر جائیں اور دوبارہ رابطے کا مشاہدہ کریں، پھر فون کو ایئرپلین موڈ سے گزاریں۔ دوبارہ شروع کریں اور دیکھیں ٹنل خود واپس آتا ہے یا نہیں: OnDemandEnabled والا پروفائل آنا چاہیے، جبکہ بہت سی ایپس کو پہلے کھولنا ضروری ہے۔
جب وہ واپس نہ آئے، ناکامی کو اس بات پر تقسیم کریں کہ ٹنل ہے بھی یا نہیں۔ VPN اشارہ نہ ہونا یعنی ٹنل کبھی اٹھا ہی نہیں: یا ہاتھ ملانا RemoteIdentifier، پن شدہ CA یا کسی سند پر ناکام ہوا، یا رابطے کی کوشش ہی نہیں کی گئی کیونکہ طلب پر مبنی قاعدہ مطابق نہیں تھا اور کسی ایپ نے اسے شروع نہیں کیا۔ اشارہ ہو مگر ٹریفک ناکام ہو تو یہ روٹنگ، DNS یا سرور کی طرف کی پالیسی ہے، اور کلائنٹ دوبارہ نصب کرنا ان میں سے کسی کو نہیں چھوتا۔
ایک مختصر فہرست تاکہ ڈیوائس اگلے شخص کے لیے قابلِ وضاحت رہے:
- ایک VPN اندراج، دو نہیں؛
- پروفائل یا ایپ جس سرور سے جڑتی ہے اس کے نام پر؛
- شناخت کی قدریں وہاں لکھی ہوئی جہاں آپ انہیں ڈھونڈ سکیں۔
جدول میں پروٹوکول کی قطار سے شروع کریں، اور اگر وہ سوال کا جواب دے تو وہیں رک جائیں۔