iPhone VPN Remote ID: bu sahə əslində nə deməkdir

Sən Ayarlarda IKEv2 konfiqurasiyası əlavə edirsən və iki sahə heç kimin vermədiyi mətn istəyir: Remote ID və Local ID. Heç biri istifadəçi adın deyil və heç biri Server sahəsinin ikinci nüsxəsi deyil. Remote ID şlüzun iPhone-una sübut etməli olduğu kimlikdir; Local ID isə iPhone-un şlüza iddia etdiyi kimlikdir. Hər hansı birini səhv etsən, tunel server artıq cavab verdikdən sonra ölür — buna görə nasazlıq parol problemi kimi görünür, amma deyil.

iOS-da sahələr harada yerləşir

Ayarlar > Ümumi > VPN və Cihaz İdarəetməsi > VPN yolunu aç və IKEv2 konfiqurasiyası əlavə et. Doğrulama altında İstifadəçi adı və ya Sertifikat seçirsən, yalnız bundan sonra Remote ID və Local ID sərbəst mətn qutuları kimi görünür. Onlar identifikatorlardır, ünvan deyil: iOS onları IKE_AUTH mübadiləsində daşıyır, burada IKEv2 təşəbbüskarın kimliyini IDi, cavab verənin kimliyini IDr adlandırır.

Saxladıqdan sonra iOS konfiqurasiyanı bir sətrə yığır və dəyərləri göstərməyi dayandırır. Sahələrin boş olduğu qənaətinə gəlməzdən əvvəl info düyməsini bas və ya profili yenidən aç. MDM tərəfindən göndərilən konfiqurasiya onları tamamilə bozlaşdıra bilər, bu da problemi kimin düzəldə biləcəyini dəyişir.

Remote ID şlüzun adıdır

Bu, iPhone-un serverdən sübut etməsini gözlədiyi dəyərdir. Sertifikat doğrulamasında o, server sertifikatındakı adla müqayisə olunur, adətən subject və ya subjectAltName qeydi. Sertifikat vpn.example.com üçün verilibsə, həmin host adı Remote ID-dir, hətta qutuya çılpaq IP ilə çatsan belə.

Bu uyğunsuzluq klassik nasazlıqdır: paketlər gəlir, server cavab verir, amma sertifikatdakı kimlik profilin tələb etdiyi ilə uyğun gəlmədiyi üçün bağlantı yenə də çökür. Server sahəsini xam IP-yə yönəltmək kömək etmir və bir çox şlüzda server sadəcə uyğunlaşdıra bilmədiyi kimliyə cavab verməyi dayandırır.

Şlüzun uyğun parametri var. strongSwan serveri öz kimliyini leftid ilə göndərir və müştəri kimliyini rightid ilə məhdudlaşdıra bilər; iki tərəf sətirdə razılaşmazsa, IKE_AUTH hər iki istiqamətdə uğursuz olur. Brauzer sətrindən URL-i köçürmək əvəzinə operatora sertifikatın hansı kimlik üçün verildiyini soruş.

Apple yük açarlarını RemoteIdentifier və LocalIdentifier kimi IKEv2 parametrləri arayışında sənədləşdirir. İkisi də adi sətirdir, ona görə registr və sondakı boşluq əhəmiyyətli ola bilər.

Local ID iPhone-un iddia etdiyi şeydir

İstifadəçi adı doğrulamasında istifadəçi adı və parolu EAP yoxlayır, Local ID isə bəzi şlüzların da tətbiq etdiyi ayrıca IKE kimliyidir. Şlüz Local ID-nin istifadəçi adına bərabər olmasını, e-poçt ünvanı olmasını və ya öz bağlantı siyasətindəki qeydə uyğun gəlməsini tələb edə bilər; başqaları ona məhəl qoymur. Onu boş buraxmaq yalnız operator belə dedikdə təhlükəsizdir.

Sertifikat doğrulamasında Local ID şlüzun həmin müştəri sertifikatı üçün qəbul etdiyi kimliyə uyğun gəlməlidir, çox vaxt sertifikatın ümumi adına və ya cihaz qeydinə bağlanmış dəyərə. Həmkarının profilini kopyalamaq onun kimliyini də kopyalayır. Ən yaxşı halda şlüz səhv cihazı qeyd edir, ən pis halda cihaz başına siyasət səni rədd edir.

Tələ boşluğun kimliksizlik demək olduğunu güman etməkdir. Boş sahəni yalnız yarımçıq göründüyü üçün e-poçt ünvanınla doldurma. Nəzərdə tutulan dəyəri təsdiqlə və verildiyi kimi daxil et.

Saxlamazdan əvvəl beş dəqiqəlik yoxlama

Bunları sıra ilə keç; ilk uğursuz olan addım düzəldilməli olandır.

1. Operatoran üç sətir al: server sertifikatındakı ad, gözlənilən Local ID və doğrulama üsulu.
2. Doğrulama üsulunu uyğunlaşdır. Remote ID və Local ID istifadəçi adı və parolu əvəz etmir və sertifikat profili parolu qəbul etmir.
3. Dəyərləri registr daxil olmaqla dəqiq yaz, sondakı boşluq olmasın.
4. Sertifikat yoxlamasını aktiv saxla. Xəbərdarlığı susdurmaq üçün əlaqəsiz kök sertifikat quraşdırmaq ad uyğunsuzluğunu düzəltmir, sadəcə gizlədir.
5. Ofis Wi-Fi-də deyil, mobil datada sına, ki kapital portal və ya bölünmüş DNS kimlik problemi kimi görünməsin.

Cədvəli yuxarıdan oxu. Server sətrində timeout kimlik sahələrinin heç yoxlanmadığını bildirir, ona görə orada dayan. Yalnız server cavab verdikdən sonra çıxan xəta demək olar ki, həmişə Remote ID və ya Local ID uyğunsuzluğudur.

Səhv sahəyə işarə edən xətalar

"User authentication failed" kimi mesaj Remote ID deyil, etimad məlumatları və ya EAP haqqındadır. Sertifikat xəbərdarlığı sertifikatdakı ad haqqındadır — Remote ID ilə Server sahəsinin qovuşduğu yer orasıdır. "The VPN server did not respond" adətən UDP 500 və 4500-ün tamamlanmadığını və ya NAT keçidinin uğursuz olduğunu, heç bir kimliyin müqayisə edilmədiyini bildirir.

Şlüz tərəfində kimlik nasazlıqları fərqli görünür: peer IKE_AUTH zamanı rədd edilir, ya da jurnal müştərinin göndərdiyi ID-ni göstərib heç bir bağlantıya uyğun gəlmədiyini deyir. Həmin jurnal sətri mübahisəni ən tez həll edən yoldur, çünki telefonun göndərdiyi dəqiq sətri göstərir.

Parolu sıfırlamaq gözlənilən server kimliyini düzəltməyəcək, Remote ID-ni dəyişmək isə səhv parolu düzəltməyəcək. Əvvəlcə mərhələni ayır, sonra həmin mərhələyə aid sahəni redaktə et.

Profil idarə olunanda

Sahələr bozlaşdırılıbsa, konfiqurasiya MDM-dən gəlib və telefon onu düzəltmək yeri deyil. VPN yükü identifikatorları daşıyır, ona görə düzgün dəyişiklik idarəetmə serverindəki profildədir və sonra cihazda yenidən quraşdırılmalıdır.

Ayarlar > Ümumi > VPN və Cihaz İdarəetməsi bölməsində profilin idarə olunub-olunmadığını və kimin imzaladığını yoxla. Onu silə bilmirsənsə, identifikatorları yerli olaraq redaktə edə bilməzsən və ikinci yerli profil yaratmaq yalnız ziddiyyətli konfiqurasiya yaradır.

Ayarları bağlamazdan əvvəl daxil etdiyin üç sətri və onların haradan gəldiyini yaz. Növbəti dəfə tunel uğursuz olanda şlüz jurnalındakı alınan ID-ni həmin qeydlə müqayisə et: fərqlidirsə, baxdığın şey parol deyil, sahədir.