Remote ID de la VPN de l’iPhone: què significa realment aquest camp
Remote ID és la identitat que el servidor ha de demostrar a l’iPhone; Local ID és la identitat que reivindica el client. Aquí tens quina cadena va a cada camp.
Ets a Configuració, afegint una configuració IKEv2, i dos camps demanen un text que ningú no t’ha donat: Remote ID i Local ID. Cap dels dos no és el teu nom d’usuari, i cap no és una segona còpia del camp Servidor. Remote ID és la identitat que la passarel·la ha de demostrar al teu iPhone; Local ID és la identitat que el teu iPhone reivindica davant la passarel·la. Si n’equivoques un, el túnel mor després que el servidor ja hagi respost, i per això la fallada sembla un problema de contrasenya sense ser-ho.
On són els camps a l’iOS
Obre Configuració > General > VPN i gestió de dispositius > VPN i afegeix una configuració IKEv2. A Autenticació tries Nom d’usuari o Certificat, i només llavors apareixen Remote ID i Local ID com a caselles de text lliure. Són identificadors, no adreces: l’iOS els porta a l’intercanvi IKE_AUTH, on IKEv2 anomena la identitat de l’iniciador IDi i la del respondent IDr.
Després de desar, l’iOS plega la configuració en una sola fila i deixa de mostrar els valors. Toca el botó d’informació o torna a obrir el perfil abans de concloure que els camps són buits. Una configuració enviada per MDM pot deixar-los completament en gris, cosa que canvia qui pot arreglar el problema.
Remote ID és el nom de la passarel·la
Aquest és el valor que el teu iPhone espera que el servidor demostri. Amb autenticació per certificat es compara amb el nom del certificat del servidor, normalment el subject o una entrada subjectAltName. Si el certificat s’emet per a vpn.example.com, aquest nom d’amfitrió és el Remote ID, fins i tot quan arribes a la màquina per una adreça IP nua.
Aquest desajust és la fallada clàssica: arriben paquets, el servidor respon, i la connexió igualment s’enfonsa perquè la identitat del certificat no coincideix amb la que exigia el perfil. Apuntar el camp Servidor a la IP crua no ajuda, i en moltes passarel·les el servidor simplement deixa de respondre a una identitat que no pot emparellar.
La passarel·la té un paràmetre equivalent. Un servidor strongSwan envia la seva pròpia identitat amb leftid i pot restringir la identitat del client amb rightid; si les dues bandes no coincideixen en la cadena, IKE_AUTH falla en tots dos sentits. Pregunta a l’operador per a quina identitat es va emetre el certificat en lloc de copiar l’URL de la barra del navegador.
Apple documenta les claus de la càrrega com a RemoteIdentifier i LocalIdentifier a la referència de paràmetres IKEv2. Totes dues són cadenes simples, així que les majúscules i un espai final poden importar.
Local ID és el que reivindica el teu iPhone
Amb autenticació per nom d’usuari, EAP comprova el nom i la contrasenya, i Local ID és una identitat IKE separada que algunes passarel·les també exigeixen. Una passarel·la pot requerir que Local ID sigui igual al nom d’usuari, que sigui una adreça de correu o que coincideixi amb una entrada de la seva política de connexions; d’altres l’ignoren. Deixar-lo buit només és segur quan l’operador ho diu.
Amb autenticació per certificat, Local ID ha de coincidir amb una identitat que la passarel·la accepti per a aquest certificat de client, sovint el nom comú del certificat o un valor associat a un registre de dispositiu. Copiar el perfil d’un company copia també la seva identitat. En el millor cas la passarel·la registra el dispositiu equivocat; en el pitjor, una política per dispositiu et rebutja.
El parany és suposar que buit vol dir cap identitat. No omplis un camp buit amb la teva adreça de correu només perquè sembla inacabat. Confirma el valor previst i introdueix-lo exactament com te l’han donat.
Una comprovació de cinc minuts abans de desar
Segueix-los en ordre; el primer pas que falli és el que cal arreglar.
- Aconsegueix tres cadenes de l’operador: el nom del certificat del servidor, el Local ID esperat i el mètode d’autenticació.
- Fes coincidir el mètode d’autenticació. Remote ID i Local ID no substitueixen un nom d’usuari i una contrasenya, i un perfil de certificat no acceptarà una contrasenya.
- Escriu els valors exactament, amb majúscules i minúscules, sense espai final.
- Mantén la validació de certificats activada. Instal·lar un certificat arrel no relacionat per silenciar un avís amaga un desajust de nom en lloc d’arreglar-lo.
- Prova amb dades mòbils, no amb el Wi-Fi de l’oficina, perquè un portal captiu o un DNS dividit no es facin passar per un problema d’identitat.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Llegeix la taula de dalt a baix. Un temps d’espera a la fila Servidor vol dir que els camps d’identitat no s’han provat mai, així que atura’t aquí. Un error que només apareix després que el servidor hagi respost és gairebé sempre un desajust de Remote ID o Local ID.
Errors que assenyalen el camp equivocat
Un missatge com "User authentication failed" tracta de credencials o EAP, no de Remote ID. Un avís de certificat tracta del nom del certificat, i és aquí on es troben Remote ID i el camp Servidor. "The VPN server did not respond" normalment vol dir que UDP 500 i 4500 no es van completar, o que el traversal NAT va fallar, i que no s’ha comparat cap identitat.
Al costat de la passarel·la, les fallades d’identitat es veuen diferent: el peer es rebutja durant IKE_AUTH, o el registre anomena l’ID que va enviar el client i diu que no coincideix amb cap connexió. Aquesta línia de registre és la manera més ràpida de resoldre la discussió, perquè mostra la cadena exacta que va enviar el telèfon.
Restablir una contrasenya no repararà una identitat de servidor esperada, i canviar Remote ID no repararà una contrasenya incorrecta. Separa primer l’etapa i després edita el camp que hi pertany.
Quan el perfil està gestionat
Si els camps són grisos, la configuració ve de MDM i el telèfon no és el lloc on arreglar-ho. La càrrega VPN porta els identificadors, així que el canvi correcte és al perfil del servidor de gestió, seguit de reinstal·lar-lo al dispositiu.
Comprova a Configuració > General > VPN i gestió de dispositius si el perfil està gestionat i qui el va signar. Si no el pots eliminar, no pots editar els identificadors localment, i crear un segon perfil local només crea una configuració en conflicte.
Abans de tancar Configuració, apunta les tres cadenes que has introduït i d’on surten. El proper cop que falli el túnel, compara l’ID rebut al registre de la passarel·la amb aquesta nota: si difereix, estàs mirant el camp, no la contrasenya.