iPhone VPN Remote ID: wat die veld werklik beteken
Remote ID is die identiteit wat die bediener aan jou iPhone moet bewys; Local ID is die identiteit wat die kliënt voorhou. Hier is watter string in watter veld hoort.
Jy is in Instellings en voeg 'n IKEv2-konfigurasie by, en twee velde vra teks wat niemand vir jou gegee het nie: Remote ID en Local ID. Nie een is jou gebruikersnaam nie, en nie een is 'n tweede kopie van die Server-veld nie. Remote ID is die identiteit wat die gateway aan jou iPhone moet bewys; Local ID is die identiteit wat jou iPhone aan die gateway voorhou. Kry enigeen verkeerd en die tonnel sterf nadat die bediener reeds geantwoord het, en daarom lyk die fout soos 'n wagwoordprobleem sonder om dit te wees.
Waar die velde in iOS sit
Maak Instellings > Algemeen > VPN & Toestelbestuur > VPN oop en voeg 'n IKEv2-konfigurasie by. Onder Verifikasie kies jy Gebruikersnaam of Sertifikaat, en eers dan verskyn Remote ID en Local ID as vrye-teks bokse. Hulle is identifiseerders, nie adresse nie: iOS dra hulle in die IKE_AUTH-uitruiling, waar IKEv2 die inisieerder se identiteit IDi en die reageerder se identiteit IDr noem.
Nadat jy gestoor het, vou iOS die konfigurasie in 'n enkele ry en wys nie meer die waardes nie. Tik op die inligtingknoppie of maak die profiel weer oop voordat jy aflei die velde is leeg. 'n Konfigurasie wat deur MDM gestuur is, kan hulle heeltemal grys maak, wat verander wie die probleem kan regstel.
Remote ID is die gateway se naam
Dit is die waarde wat jou iPhone van die bediener verwag om te bewys. Met sertifikaatverifikasie word dit teen die naam in die bediener se sertifikaat vergelyk, gewoonlik die subject of 'n subjectAltName-inskrywing. As die sertifikaat vir vpn.example.com uitgereik is, is daardie gasheernaam die Remote ID, selfs wanneer jy die boks by 'n kaal IP-adres bereik.
Daardie wanverhouding is die klassieke fout: pakkette arriveer, die bediener antwoord, en die verbinding val steeds inmekaar omdat die identiteit in die sertifikaat nie ooreenstem met wat die profiel geëis het nie. Om die Server-veld na die rou IP te wys, help nie, en by baie gateways hou die bediener net op om te antwoord op 'n identiteit wat hy nie kan pas nie.
Die gateway het 'n ooreenstemmende instelling. 'n strongSwan-bediener stuur sy eie identiteit met leftid en kan die kliënt se identiteit met rightid beperk; as die twee kante oor die string verskil, misluk IKE_AUTH in beide rigtings. Vra die operateur vir watter identiteit die sertifikaat uitgereik is eerder as om die URL uit 'n blaaierbalk oor te skryf.
Apple dokumenteer die payload-sleutels as RemoteIdentifier en LocalIdentifier in sy IKEv2-instellingverwysing. Albei is gewone stringe, dus hoofletters en 'n sleepspasie aan die einde kan saak maak.
Local ID is wat jou iPhone voorhou
Met gebruikersnaamverifikasie word die gebruikersnaam en wagwoord deur EAP nagegaan, en Local ID is 'n aparte IKE-identiteit wat sommige gateways ook afdwing. 'n Gateway kan vereis dat Local ID gelyk is aan die gebruikersnaam, 'n e-posadres is, of ooreenstem met 'n inskrywing in sy verbindingsbeleid; ander ignoreer dit. Om dit leeg te laat is net veilig wanneer die operateur so sê.
Met sertifikaatverifikasie moet Local ID ooreenstem met 'n identiteit wat die gateway vir daardie kliëntsertifikaat aanvaar, dikwels die sertifikaat se common name of 'n waarde wat aan 'n toestelrekord gekoppel is. Om 'n kollega se profiel te kopieer, kopieer ook hul identiteit. In die beste geval teken die gateway die verkeerde toestel aan; in die slegste geval verwerp 'n beleid per toestel jou.
Die lokval is om aan te neem dat leeg geen identiteit beteken. Moenie 'n leë veld met jou e-posadres vul net omdat dit onvoltooid lyk nie. Bevestig die bedoelde waarde en voer dit presies soos gegee in.
'n Vyfminuutkontrole voordat jy stoor
Werk dit in volgorde deur; die eerste stap wat misluk, is die een om reg te maak.
- Kry drie stringe by die operateur: die naam in die bediener se sertifikaat, die verwagte Local ID en die verifikasiemetode.
- Pas die verifikasiemetode. Remote ID en Local ID vervang nie 'n gebruikersnaam en wagwoord nie, en 'n sertifikaatprofiel aanvaar nie 'n wagwoord nie.
- Tik die waardes presies in, insluitend hoofletters, sonder 'n sleepspasie aan die einde.
- Hou sertifikaatvalidering aan. Om 'n onverwante wortelsertifikaat te installeer om 'n waarskuwing stil te maak, verberg 'n naamwanverhouding eerder as om dit reg te maak.
- Toets op sellulêre data, nie kantoor-Wi-Fi nie, sodat 'n captive portal of split-DNS nie as 'n identiteitsprobleem voordoen nie.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Lees die tabel van bo. 'n Timeout op die Server-ry beteken die identiteitsvelde is nooit getoets nie, so stop daar. 'n Fout wat eers verskyn nadat die bediener geantwoord het, is byna altyd 'n wanverhouding in Remote ID of Local ID.
Foute wat na die verkeerde veld wys
'n Boodskap soos "User authentication failed" handel oor geloofsbriewe of EAP, nie Remote ID nie. 'n Sertifikaatwaarskuwing handel oor die naam in die sertifikaat, en dit is waar Remote ID en die Server-veld mekaar ontmoet. "The VPN server did not respond" beteken gewoonlik dat UDP 500 en 4500 nooit voltooi het nie, of dat NAT-traversal misluk het, en dat geen identiteit vergelyk is nie.
Aan die gateway-kant lyk identiteitsfoute anders: die eweknie word tydens IKE_AUTH verwerp, of die log noem die ID wat die kliënt gestuur het en sê dit pas by geen verbinding nie. Daardie logreël is die vinnigste manier om die argument te besleg, want dit wys die presiese string wat die telefoon gestuur het.
Om 'n wagwoord te herstel sal nie 'n verwagte bedieneridentiteit regmaak nie, en om Remote ID te verander sal nie 'n verkeerde wagwoord regmaak nie. Skei eers die stadium en wysig dan die veld wat by daardie stadium hoort.
Wanneer die profiel bestuur word
As die velde grys is, het die konfigurasie van MDM gekom en die telefoon is nie die plek om dit reg te maak nie. Die VPN-payload dra die identifiseerders, so die regte verandering is in die profiel op die bestuursserver, gevolg deur herinstallasie daarvan op die toestel.
Kyk in Instellings > Algemeen > VPN & Toestelbestuur of die profiel bestuur word en wie dit onderteken het. As jy dit nie kan verwyder nie, kan jy die identifiseerders nie plaaslik wysig nie, en 'n tweede plaaslike profiel bou net 'n teenstrydige konfigurasie.
Voordat jy Instellings sluit, skryf die drie stringe neer wat jy ingevoer het en waar hulle vandaan kom. Die volgende keer dat die tonnel misluk, vergelyk die gateway-log se ontvangde ID met daardie nota: as dit verskil, kyk jy na die veld, nie die wagwoord nie.