VPN cá nhân hay đường hầm gói: hai mô hình VPN cho iPhone

Hai ứng dụng iPhone đều có thể đặt một mục VPN trong Cài đặt, đều tự gọi mình là ứng dụng khách VPN và gần như không chia sẻ cách triển khai nào. Apple gọi một trong những tích hợp đó là VPN cá nhân, và chính cái tên đó tạo ra phần lớn sự nhầm lẫn. VPN cá nhân là một API để tạo và quản lý các cấu hình sử dụng cách triển khai IPsec hoặc IKEv2 tích hợp. Nhà cung cấp đường hầm gói là mô hình còn lại: ứng dụng cung cấp một tiện ích mở rộng triển khai phía máy khách của giao thức riêng. Mọi điều người ta suy ra từ nhãn sau đó, từ mật mã đến quyền sở hữu và đến việc điện thoại có phải được quản lý hay không, đều là suy luận chứ không phải tuyên bố.

Ai triển khai đường hầm

Sự phân chia này quyết định ai chịu trách nhiệm khi có thứ gì hỏng. Với IPsec hoặc IKEv2 tích hợp, iOS sở hữu máy trạng thái của đường hầm và ứng dụng sở hữu cấu hình cùng các nút. Với nhà cung cấp, ứng dụng sở hữu cả hai, nên một lỗi giao thức trở thành bản cập nhật ứng dụng thay vì bản cập nhật hệ điều hành.

So sánh rất ngắn nếu bạn hỏi ai triển khai giao thức.

tài liệu VPN cá nhân cũng đề cập lời nhắc ủy quyền rõ ràng của người dùng khi ứng dụng lưu cấu hình lần đầu, điều thuộc về mô hình đó chứ không phải các ứng dụng VPN nói chung.

Hai khẳng định về nhãn nên bỏ đi

Thứ nhất là VPN cá nhân chọn một mật mã. Không phải vậy; bộ thuật toán được thương lượng đến từ giao thức và cấu hình của nó, và nhãn Cá nhân không nói gì về việc bạn sẽ nhận được loại nào. Thứ hai là VPN cá nhân ngụ ý một proxy hoặc một đường hầm giới hạn. Nó ngụ ý IPsec hoặc IKEv2 tích hợp, mà đó là đường hầm đầy đủ mỗi khi các tuyến nói vậy.

Vì thế sự hiện diện của một ứng dụng không phải bằng chứng về giao thức trên dây. Một ứng dụng khách bên thứ ba nói WireGuard hoặc OpenVPN về bản chất là ứng dụng nhà cung cấp, bởi iOS không triển khai các giao thức đó một cách gốc.

Vì sao cách diễn đạt doanh nghiệp gây nhầm lẫn

Tài liệu của Apple phân loại cấu hình NETunnelProviderManager là cấu hình VPN doanh nghiệp thông thường. Cách diễn đạt đó là một phạm trù API, và nó đẩy người ta về hai lỗi trái ngược: cho rằng ứng dụng tiêu dùng không thể dùng mô hình nhà cung cấp, và cho rằng điện thoại phải được giám sát để làm việc đó. Cả hai đều không suy ra được. Ứng dụng tiêu dùng cung cấp nhà cung cấp một cách thường xuyên, và giám sát là một câu hỏi riêng về việc ai được phép thực thi chính sách.

Quyền sở hữu quản lý là câu hỏi thứ tư đó, và nó độc lập với cả hai mô hình. Một cấu hình do tổ chức cài đặt mang danh tính, phạm vi lưu lượng và quy tắc vòng đời riêng, và những thứ đó đi cùng hồ sơ chứ không đi cùng ứng dụng tình cờ được cài. Hãy đọc chúng cùng với mô hình tích hợp, vì một hồ sơ tích hợp được quản lý và một hồ sơ nhà cung cấp không được quản lý có thể cùng nằm trên một điện thoại.

Hãy kiểm tra bằng chứng thay vì ảnh chụp màn hình

Ảnh chụp màn hình là bằng chứng tệ nhất hiện có, vì cách nhóm trong Cài đặt thay đổi giữa các bản phát hành. Một hồ sơ được quản lý nêu loại tải trọng của chính nó: hồ sơ tích hợp khai báo một loại VPN như IKEv2 hoặc IPsec, trong khi hồ sơ nhà cung cấp mang một kiểu con nêu định danh gói của nhà cung cấp. Điều đó có thể kiểm tra trên thiết bị trước mặt bạn, và nó sống sót qua lần thiết kế lại tiếp theo.

Về bản thân ứng dụng, lớp đang dùng trả lời cùng câu hỏi từ phía bên kia: các đối tượng cấu hình từ API VPN cá nhân, hoặc một trình quản lý nhà cung cấp và tiện ích mở rộng của nó.

Sau đó hãy chọn theo điều nhà mạng thực sự cung cấp. Ở đâu có hồ sơ gốc tương thích, con đường tích hợp có ít bộ phận chuyển động hơn và ít hơn một thứ phải cập nhật. Ở đâu dịch vụ cần một giao thức mà iOS không cung cấp, ứng dụng nhà cung cấp là lựa chọn duy nhất và nhịp phát hành của nó trở thành một phần rủi ro của bạn.

Giữ bản ghi cùng với kết nối

Gắn xác thực và chính sách tài nguyên vào bản ghi kết nối chứ không phải vào ứng dụng, để lần cài lại không mang theo mô hình ủy quyền. Bản ghi đó cũng là thứ một kỹ sư hỗ trợ cần khi đường hầm lên mà không gì khác hoạt động.

Câu hỏi đáng hỏi cuối cùng không phải mô hình nào tốt hơn. Mà là mô hình nào nhà mạng của bạn hỗ trợ, và mô hình nào bạn có thể gỡ lỗi lúc hai giờ sáng với những công cụ bạn thực sự có.