Remote ID mewn VPN ar iPhone: beth mae’r maes hwn yn ei olygu mewn gwirionedd
Remote ID yw’r hunaniaeth y mae’n rhaid i’r gweinydd ei phrofi i’ch iPhone; Local ID yw’r hunaniaeth y mae’r cleient yn ei hawlio. Dyma pa llinyn sy’n mynd i ba maes.
Rydych yn y Gosodiadau yn ychwanegu ffurfweddiad IKEv2, ac mae dau faes eisiau testun na roddodd neb i chi: Remote ID a Local ID. Nid yw’r un ohonynt yn enw defnyddiwr i chi, ac nid yw’r un yn ail gopi o’r maes Server. Remote ID yw’r hunaniaeth y mae’n rhaid i’r porth ei phrofi i’ch iPhone; Local ID yw’r hunaniaeth y mae’ch iPhone yn ei hawlio i’r porth. Cewch unrhyw un yn anghywir a bydd y twnnel yn marw ar ôl i’r gweinydd ateb yn barod, a dyna pam mae’r methiant yn edrych fel problem gyfrinair heb fod.
Lle mae’r meysydd yn iOS
Agorwch Gosodiadau > Cyffredinol > VPN a Rheoli Dyfeisiau > VPN ac ychwanegwch ffurfweddiad IKEv2. O dan Dilysu rydych yn dewis Enw Defnyddiwr neu Dystysgrif, a dim ond wedyn mae Remote ID a Local ID yn ymddangos fel blychau testun rhydd. Dynodwyr ydynt, nid cyfeiriadau: mae iOS yn eu cario yn y gyfnewidfa IKE_AUTH, lle mae IKEv2 yn galw hunaniaeth y cychwynnydd yn IDi a hunaniaeth yr ymatebydd yn IDr.
Ar ôl i chi arbed, mae iOS yn plygu’r ffurfweddiad yn un rhes ac yn stopio dangos y gwerthoedd. Tapiwch y botwm gwybodaeth neu agorwch y proffil eto cyn dod i’r casgliad bod y meysydd yn wag. Gall ffurfweddiad a wthiwyd gan MDM eu llwydo’n llwyr, sy’n newid pwy all drwsio’r broblem.
Remote ID yw enw’r porth
Dyma’r gwerth y mae’ch iPhone yn disgwyl i’r gweinydd ei brofi. Gyda dilysu tystysgrif fe’i chymharir ag enw yn nhystysgrif y gweinydd, fel arfer y subject neu gofnod subjectAltName. Os yw’r dystysgrif wedi’i rhoi ar gyfer vpn.example.com, yr enw gwesteiwr hwnnw yw’r Remote ID, hyd yn oed pan fyddwch yn cyrraedd y blwch drwy gyfeiriad IP noeth.
Yr annghydweddiad hwnnw yw’r methiant clasurol: mae pecynnau’n cyrraedd, mae’r gweinydd yn ateb, ac eto mae’r cysylltiad yn cwympo oherwydd nad yw’r hunaniaeth yn y dystysgrif yn cyfateb i’r hyn a oedd y proffil yn ei fynnu. Nid yw pwyntio’r maes Server at yr IP crai yn helpu, ac ar lawer o byrth mae’r gweinydd yn syml yn stopio ymateb i hunaniaeth na all ei chyfateb.
Mae gan y porth osodiad cyfatebol. Mae gweinydd strongSwan yn anfon ei hunaniaeth ei hun gyda leftid a gall gyfyngu hunaniaeth y cleient gyda rightid; os yw’r ddwy ochr yn anghytuno am y llinyn, mae IKE_AUTH yn methu yn y ddau gyfeiriad. Gofynnwch i’r gweithredwr ar gyfer pa hunaniaeth y rhoddwyd y dystysgrif yn hytrach na chopïo’r URL o far pori.
Mae Apple yn dogfennu allweddi’r llwyth fel RemoteIdentifier a LocalIdentifier yn ei gyfeirlyfr gosodiadau IKEv2. Mae’r ddau yn llinynnau plaen, felly gall maint llythrennau a bwlch ar y diwedd fod o bwys.
Local ID yw’r hyn y mae’ch iPhone yn ei hawlio
Gyda dilysu enw defnyddiwr mae EAP yn gwirio’r enw a’r cyfrinair, a Local ID yw hunaniaeth IKE ar wahân y mae rhai pyrth yn ei gorfodi hefyd. Gall porth fynnu bod Local ID yn hafal i’r enw defnyddiwr, yn gyfeiriad e-bost, neu’n cyfateb i gofnod yn ei bolisi cysylltiadau; mae eraill yn ei anwybyddu. Nid yw ei adael yn wag yn ddiogel oni bai bod y gweithredwr yn dweud hynny.
Gyda dilysu tystysgrif dylai Local ID gyfateb i hunaniaeth y mae’r porth yn ei derbyn ar gyfer y dystysgrif cleient honno, yn aml enw cyffredin y dystysgrif neu werth wedi’i fapio i gofnod dyfais. Mae copïo proffil cydweithiwr yn copïo eu hunaniaeth hefyd. Ar y gorau mae’r porth yn cofnodi’r ddyfais anghywir; ar y gwaethaf mae polisi fesul dyfais yn eich gwrthod.
Y trap yw tybio bod gwag yn golygu dim hunaniaeth. Peidiwch â llenwi maes gwag â’ch cyfeiriad e-bost dim ond oherwydd ei fod yn edrych yn anorffenedig. Cadarnhewch y gwerth a fwriedir a’i nodi’n union fel y’i rhoddwyd.
Gwiriad pum munud cyn arbed
Ewch drwyddynt yn eu trefn; y cam cyntaf sy’n methu yw’r un i’w drwsio.
- Cewch dri llinyn gan y gweithredwr: yr enw yn nhystysgrif y gweinydd, y Local ID disgwyliedig a’r dull dilysu.
- Cyfatebwch y dull dilysu. Nid yw Remote ID a Local ID yn disodli enw defnyddiwr a chyfrinair, ac ni fydd proffil tystysgrif yn derbyn cyfrinair.
- Teipiwch y gwerthoedd yn union, gan gynnwys maint llythrennau, heb fwlch ar y diwedd.
- Cadwch ddilysu tystysgrifau ymlaen. Mae gosod tystysgrif gwraidd ddi-gysylltiad i dawelu rhybudd yn cuddio annghydweddiad enw yn hytrach na’i drwsio.
- Profwch ar ddata symudol, nid Wi-Fi’r swyddfa, fel nad yw porth caeth neu DNS hollt yn ymddangos fel problem hunaniaeth.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Darllenwch y tabl o’r brig. Mae terfyn amser ar y rhes Server yn golygu na phrofwyd y meysydd hunaniaeth o gwbl, felly stopiwch yno. Mae gwall sy’n ymddangos dim ond ar ôl i’r gweinydd ateb bron bob amser yn annghydweddiad Remote ID neu Local ID.
Gwallau sy’n pwyntio at y maes anghywir
Mae neges fel "User authentication failed" yn ymwneud â chredensialau neu EAP, nid Remote ID. Mae rhybudd tystysgrif yn ymwneud â’r enw yn y dystysgrif, a dyna lle mae Remote ID a’r maes Server yn cwrdd. Mae "The VPN server did not respond" fel arfer yn golygu na chwblhaodd UDP 500 a 4500, neu fod NAT traversal wedi methu, ac na chymharwyd unrhyw hunaniaeth.
Ar ochr y porth mae methiannau hunaniaeth yn edrych yn wahanol: gwrthodir y peer yn ystod IKE_AUTH, neu mae’r log yn enwi’r ID a anfonwyd gan y cleient ac yn dweud nad yw’n cyfateb i unrhyw gysylltiad. Y llinell log honno yw’r ffordd gyflymaf i setlo’r ddadl, oherwydd mae’n dangos y llinyn union a anfonodd y ffôn.
Ni fydd ailosod cyfrinair yn trwsio hunaniaeth gweinydd a ddisgwylir, ac ni fydd newid Remote ID yn trwsio cyfrinair anghywir. Gwahanwch y cam yn gyntaf, yna golygwch y maes sy’n perthyn i’r cam hwnnw.
Pan fydd y proffil yn cael ei reoli
Os yw’r meysydd wedi’u llwydo, daeth y ffurfweddiad o MDM ac nid y ffôn yw’r lle i’w drwsio. Mae llwyth VPN yn cario’r dynodwyr, felly’r newid cywir yw yn y proffil ar y gweinydd rheoli, ac yna ei ailosod ar y ddyfais.
Gwiriwch yng Ngosodiadau > Cyffredinol > VPN a Rheoli Dyfeisiau a yw’r proffil yn cael ei reoli a phwy a’i llofnododd. Os na allwch ei dynnu, ni allwch olygu’r dynodwyr yn lleol, ac mae adeiladu ail broffil lleol yn creu ffurfweddiad gwrthgyferbyniol yn unig.
Cyn i chi gau Gosodiadau, nodwch y tri llinyn a nodwyd gennych ac o ble y daethant. Y tro nesaf y bydd y twnnel yn methu, cymharwch yr ID a dderbyniwyd yn log y porth â’r nodyn hwnnw: os yw’n wahanol, rydych yn edrych ar y maes, nid y cyfrinair.