معرّف Remote ID في VPN على iPhone: ماذا يعني هذا الحقل فعلاً
Remote ID هي الهوية التي يجب أن يثبتها الخادم لهاتفك، وLocal ID هي هوية العميل التي يدّعيها الهاتف. إليك أي نص يخص أي حقل.
أنت في الإعدادات تضيف إعدادًا لبروتوكول IKEv2، وحقلان يطلبان نصًا لم يعطك إياه أحد: Remote ID وLocal ID. لا أحدهما اسم المستخدم الخاص بك، ولا أحدهما نسخة ثانية من حقل Server. إن Remote ID هو الهوية التي يجب أن تثبتها البوابة لهاتفك، وLocal ID هي الهوية التي يدّعيها هاتفك أمام البوابة. أخطئ في أي منهما وتموت النفق بعد أن يكون الخادم قد أجاب فعلاً، ولهذا يبدو الفشل كمشكلة كلمة مرور مع أنه ليس كذلك.
أين يقع الحقلان في iOS
افتح الإعدادات > عام > VPN وإدارة الأجهزة > VPN وأضف إعدادًا لـ IKEv2. تحت المصادقة تختار اسم المستخدم أو الشهادة، وعندها فقط يظهر Remote ID وLocal ID كمربعات نص حر. هما معرّفان لا عنوانان: يحملهما iOS في تبادل IKE_AUTH، حيث يسمي IKEv2 هوية المُبادِر IDi وهوية المُستجيب IDr.
بعد الحفظ يطوي iOS الإعداد في صف واحد ويتوقف عن إظهار القيم. اضغط زر المعلومات أو افتح الملف الشخصي مرة أخرى قبل أن تستنتج أن الحقلين فارغان. الإعداد الذي يدفعه MDM قد يجعلهما رماديين بالكامل، وهذا يغيّر من يستطيع إصلاح المشكلة.
Remote ID هو اسم البوابة
هذه هي القيمة التي يتوقع هاتفك أن يثبتها الخادم. مع مصادقة الشهادة تُقارن بالاسم الموجود في شهادة الخادم، وهو عادةً subject أو مدخل subjectAltName. إذا صدرت الشهادة لـ vpn.example.com فإن اسم المضيف هذا هو Remote ID، حتى لو وصلت إلى الجهاز بعنوان IP مجرد.
هذا التباين هو الفشل الكلاسيكي: تصل الحزم ويجيب الخادم، ومع ذلك تنهار الاتصال لأن الهوية في الشهادة لا تطابق ما طلبه الملف الشخصي. توجيه حقل Server إلى الـ IP الخام لا يساعد، وفي كثير من البوابات يتوقف الخادم ببساطة عن الرد على هوية لا يستطيع مطابقتها.
للبوابة إعداد مطابق. خادم strongSwan يرسل هويته بـ leftid ويمكنه تقييد هوية العميل بـ rightid؛ وإذا اختلف الطرفان على النص فشل IKE_AUTH في الاتجاهين. اسأل المشغّل لأي هوية صدرت الشهادة بدلًا من نقل العنوان من شريط المتصفح.
توثّق Apple مفاتيح الحمولة باسمي RemoteIdentifier وLocalIdentifier في مرجع إعدادات IKEv2. كلاهما نص عادي، لذا قد تهم حالة الأحرف والمسافة في النهاية.
Local ID هو ما يدّعيه هاتفك
مع مصادقة اسم المستخدم يتحقق EAP من اسم المستخدم وكلمة المرور، وLocal ID هوية IKE منفصلة تفرضها بعض البوابات أيضًا. قد تشترط بوابة أن يساوي Local ID اسم المستخدم، أو أن يكون عنوان بريد إلكتروني، أو أن يطابق مدخلًا في سياسة الاتصال لديها؛ وبوابات أخرى تتجاهله. ترك الحقل فارغًا آمن فقط حين يقول المشغّل ذلك.
مع مصادقة الشهادة ينبغي أن يطابق Local ID هوية تقبلها البوابة لشهادة العميل تلك، وغالبًا الاسم الشائع للشهادة أو قيمة مرتبطة بسجل جهاز. نسخ ملف شخصي لزميل ينسخ هويته أيضًا. في أفضل الأحوال تسجّل البوابة الجهاز الخطأ، وفي أسوئها ترفضك سياسة خاصة بكل جهاز.
الفخ هو افتراض أن الفراغ يعني عدم وجود هوية. لا تملأ حقلًا فارغًا بعنوان بريدك لمجرد أنه يبدو غير مكتمل. تأكد من القيمة المقصودة وأدخلها تمامًا كما أُعطيت.
فحص خمس دقائق قبل الحفظ
اعمل عليها بالترتيب؛ أول خطوة تفشل هي التي يجب إصلاحها.
- احصل من المشغّل على ثلاثة نصوص: الاسم في شهادة الخادم، وLocal ID المتوقع، وطريقة المصادقة.
- طابق طريقة المصادقة. Remote ID وLocal ID لا يعوّضان اسم مستخدم وكلمة مرور، وملف تعريف الشهادة لا يقبل كلمة مرور.
- اكتب القيم تمامًا، بما في ذلك حالة الأحرف، دون مسافة في النهاية.
- أبقِ التحقق من الشهادة مفعّلًا. تثبيت شهادة جذر غير ذات صلة لإسكات تحذير يخفي عدم تطابق الاسم بدلًا من إصلاحه.
- اختبر على بيانات الجوال لا على Wi-Fi المكتب، حتى لا يتنكر بوابة أسيرة أو DNS مقسّم في صورة مشكلة هوية.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
اقرأ الجدول من الأعلى. مهلة في صف Server تعني أن حقلي الهوية لم يُختبرا أصلًا، فتوقف عندها. الخطأ الذي يظهر فقط بعد رد الخادم هو في الغالب تباين في Remote ID أو Local ID.
أخطاء تشير إلى الحقل الخطأ
رسالة مثل "User authentication failed" تتعلق ببيانات الاعتماد أو EAP لا بـ Remote ID. تحذير الشهادة يتعلق بالاسم في الشهادة، وهنا يلتقي Remote ID مع حقل Server. "The VPN server did not respond" تعني عادةً أن UDP 500 و4500 لم يكتملا، أو أن اجتياز NAT فشل، وأنه لم تُقارن أي هوية.
على جانب البوابة تبدو إخفاقات الهوية مختلفة: يُرفض النظير أثناء IKE_AUTH، أو يذكر السجل المعرّف الذي أرسله العميل ويقول إنه لا يطابق أي اتصال. سطر السجل هذا أسرع طريقة لحسم الجدل، لأنه يُظهر النص الدقيق الذي أرسله الهاتف.
إعادة تعيين كلمة المرور لن تصلح هوية خادم متوقعة، وتغيير Remote ID لن يصلح كلمة مرور خاطئة. افصل المرحلة أولًا، ثم عدّل الحقل الذي ينتمي إلى تلك المرحلة.
عندما يكون الملف الشخصي مُدارًا
إذا كانت الحقول رمادية فقد جاء الإعداد من MDM وليس الهاتف مكان إصلاحه. حمولة VPN تحمل المعرّفات، لذا التغيير الصحيح في الملف الشخصي على خادم الإدارة، ثم إعادة تثبيته على الجهاز.
تحقق في الإعدادات > عام > VPN وإدارة الأجهزة مما إذا كان الملف مُدارًا ومن وقّعه. إن لم تستطع إزالته فلم تستطع تحرير المعرّفات محليًا، وبناء ملف محلي ثانٍ لا يخلق إلا إعدادًا متعارضًا.
قبل أن تغلق الإعدادات، اكتب النصوص الثلاثة التي أدخلتها ومصدرها. في المرة القادمة التي يفشل فيها النفق، قارن المعرّف المستلم في سجل البوابة بذلك التدوين: إن اختلف فأنت تنظر إلى الحقل لا إلى كلمة المرور.