Remote ID σε VPN σε iPhone: τι σημαίνει πραγματικά αυτό το πεδίο

Βρίσκεσαι στις Ρυθμίσεις και προσθέτεις μια διαμόρφωση IKEv2, και δύο πεδία ζητούν κείμενο που δεν σου έδωσε κανείς: Remote ID και Local ID. Κανένα από τα δύο δεν είναι το όνομα χρήστη σου, και κανένα δεν είναι δεύτερο αντίγραφο του πεδίου Server. Το Remote ID είναι η ταυτότητα που πρέπει να αποδείξει η πύλη στο iPhone σου· το Local ID είναι η ταυτότητα που διεκδικεί το iPhone σου στην πύλη. Αν κάνεις λάθος σε οποιοδήποτε από τα δύο, η σήραγγα πεθαίνει αφού ο διακομιστής έχει ήδη απαντήσει, γι' αυτό η αποτυχία μοιάζει με πρόβλημα κωδικού πρόσβασης χωρίς να είναι.

Πού βρίσκονται τα πεδία στο iOS

Άνοιξε Ρυθμίσεις > Γενικά > VPN και διαχείριση συσκευών > VPN και πρόσθεσε μια διαμόρφωση IKEv2. Στον Έλεγχο ταυτότητας επιλέγεις Όνομα χρήστη ή Πιστοποιητικό, και μόνο τότε εμφανίζονται τα Remote ID και Local ID ως πεδία ελεύθερου κειμένου. Είναι αναγνωριστικά, όχι διευθύνσεις: το iOS τα μεταφέρει στην ανταλλαγή IKE_AUTH, όπου το IKEv2 ονομάζει την ταυτότητα του εκκινητή IDi και του αποκρινόμενου IDr.

Αφού αποθηκεύσεις, το iOS διπλώνει τη διαμόρφωση σε μία γραμμή και σταματά να δείχνει τις τιμές. Πάτησε το κουμπί πληροφοριών ή άνοιξε ξανά το προφίλ πριν συμπεράνεις ότι τα πεδία είναι κενά. Μια διαμόρφωση που στάλθηκε από MDM μπορεί να τα γκριζάρει εντελώς, κάτι που αλλάζει ποιος μπορεί να διορθώσει το πρόβλημα.

Το Remote ID είναι το όνομα της πύλης

Αυτή είναι η τιμή που το iPhone σου περιμένει να αποδείξει ο διακομιστής. Με έλεγχο ταυτότητας μέσω πιστοποιητικού συγκρίνεται με το όνομα στο πιστοποιητικό του διακομιστή, συνήθως το subject ή μια καταχώριση subjectAltName. Αν το πιστοποιητικό έχει εκδοθεί για το vpn.example.com, αυτό το όνομα κεντρικού υπολογιστή είναι το Remote ID, ακόμη και όταν φτάνεις στο μηχάνημα με γυμνή διεύθυνση IP.

Αυτή η αναντιστοιχία είναι η κλασική αποτυχία: τα πακέτα φτάνουν, ο διακομιστής απαντά, και η σύνδεση καταρρέει παρ' όλα αυτά, επειδή η ταυτότητα στο πιστοποιητικό δεν ταιριάζει με αυτό που απαιτούσε το προφίλ. Το να δείξεις το πεδίο Server στην ακατέργαστη IP δεν βοηθά, και σε πολλές πύλες ο διακομιστής απλώς σταματά να απαντά σε ταυτότητα που δεν μπορεί να αντιστοιχίσει.

Η πύλη έχει αντίστοιχη ρύθμιση. Ένας διακομιστής strongSwan στέλνει τη δική του ταυτότητα με το leftid και μπορεί να περιορίσει την ταυτότητα του πελάτη με το rightid· αν οι δύο πλευρές διαφωνούν για τη συμβολοσειρά, το IKE_AUTH αποτυγχάνει και προς τις δύο κατευθύνσεις. Ρώτησε τον διαχειριστή για ποια ταυτότητα εκδόθηκε το πιστοποιητικό αντί να αντιγράψεις το URL από τη γραμμή διευθύνσεων.

Η Apple τεκμηριώνει τα κλειδιά του ωφέλιμου φορτίου ως RemoteIdentifier και LocalIdentifier στην αναφορά ρυθμίσεων IKEv2. Και τα δύο είναι απλές συμβολοσειρές, οπότε τα πεζά-κεφαλαία και ένα κενό στο τέλος μπορεί να μετράνε.

Το Local ID είναι αυτό που διεκδικεί το iPhone σου

Με έλεγχο ταυτότητας ονόματος χρήστη, το EAP ελέγχει το όνομα και τον κωδικό πρόσβασης, και το Local ID είναι ξεχωριστή ταυτότητα IKE που μερικές πύλες επιβάλλουν επίσης. Μια πύλη μπορεί να απαιτεί το Local ID να ισούται με το όνομα χρήστη, να είναι διεύθυνση email ή να ταιριάζει με καταχώριση στην πολιτική συνδέσεών της· άλλες το αγνοούν. Το να το αφήσεις κενό είναι ασφαλές μόνο όταν το λέει ο διαχειριστής.

Με έλεγχο ταυτότητας πιστοποιητικού, το Local ID πρέπει να ταιριάζει με ταυτότητα που η πύλη δέχεται για αυτό το πιστοποιητικό πελάτη, συχνά το κοινό όνομα του πιστοποιητικού ή μια τιμή αντιστοιχισμένη σε εγγραφή συσκευής. Αν αντιγράψεις το προφίλ συναδέλφου, αντιγράφεις και την ταυτότητά του. Στην καλύτερη περίπτωση η πύλη καταγράφει λάθος συσκευή, στη χειρότερη μια πολιτική ανά συσκευή σε απορρίπτει.

Η παγίδα είναι να υποθέσεις ότι το κενό σημαίνει καμία ταυτότητα. Μη γεμίζεις ένα κενό πεδίο με τη διεύθυνση email σου μόνο επειδή φαίνεται ημιτελές. Επιβεβαίωσε την προβλεπόμενη τιμή και εισήγαγέ την ακριβώς όπως δόθηκε.

Έλεγχος πέντε λεπτών πριν την αποθήκευση

Δούλεψέ τα με σειρά· το πρώτο βήμα που αποτυγχάνει είναι αυτό που πρέπει να διορθωθεί.

1. Πάρε τρεις συμβολοσειρές από τον διαχειριστή: το όνομα στο πιστοποιητικό του διακομιστή, το αναμενόμενο Local ID και τη μέθοδο ελέγχου ταυτότητας.
2. Ταίριαξε τη μέθοδο ελέγχου ταυτότητας. Τα Remote ID και Local ID δεν αντικαθιστούν όνομα χρήστη και κωδικό πρόσβασης, και ένα προφίλ πιστοποιητικού δεν δέχεται κωδικό πρόσβασης.
3. Πληκτρολόγησε τις τιμές ακριβώς, με πεζά-κεφαλαία, χωρίς κενό στο τέλος.
4. Άφησε την επικύρωση πιστοποιητικών ενεργή. Η εγκατάσταση άσχετου πιστοποιητικού ρίζας για να σωπάσεις μια προειδοποίηση κρύβει μια αναντιστοιχία ονόματος αντί να τη διορθώνει.
5. Δοκίμασε σε δεδομένα κινητής, όχι στο Wi-Fi του γραφείου, ώστε μια captive πύλη ή διαχωρισμένο DNS να μην υποδύεται πρόβλημα ταυτότητας.

Διάβασε τον πίνακα από πάνω. Ένα timeout στη γραμμή Server σημαίνει ότι τα πεδία ταυτότητας δεν δοκιμάστηκαν ποτέ, οπότε σταμάτα εκεί. Ένα σφάλμα που εμφανίζεται μόνο αφού απαντήσει ο διακομιστής είναι σχεδόν πάντα αναντιστοιχία Remote ID ή Local ID.

Σφάλματα που δείχνουν στο λάθος πεδίο

Ένα μήνυμα όπως "User authentication failed" αφορά διαπιστευτήρια ή EAP, όχι το Remote ID. Μια προειδοποίηση πιστοποιητικού αφορά το όνομα στο πιστοποιητικό, και εκεί συναντιούνται το Remote ID και το πεδίο Server. Το "The VPN server did not respond" συνήθως σημαίνει ότι τα UDP 500 και 4500 δεν ολοκληρώθηκαν ποτέ, ή ότι απέτυχε το NAT traversal, και δεν συγκρίθηκε καμία ταυτότητα.

Στην πλευρά της πύλης οι αποτυχίες ταυτότητας φαίνονται διαφορετικά: ο peer απορρίπτεται κατά το IKE_AUTH, ή το αρχείο καταγραφής αναφέρει το ID που έστειλε ο πελάτης και λέει ότι δεν ταιριάζει με καμία σύνδεση. Αυτή η γραμμή καταγραφής είναι ο γρηγορότερος τρόπος να λυθεί η διαφωνία, γιατί δείχνει την ακριβή συμβολοσειρά που έστειλε το τηλέφωνο.

Η επαναφορά κωδικού πρόσβασης δεν θα επισκευάσει μια αναμενόμενη ταυτότητα διακομιστή, και η αλλαγή του Remote ID δεν θα επισκευάσει λάθος κωδικό πρόσβασης. Διαχώρισε πρώτα το στάδιο και μετά επεξεργάσου το πεδίο που ανήκει σε αυτό το στάδιο.

Όταν το προφίλ διαχειρίζεται

Αν τα πεδία είναι γκρι, η διαμόρφωση ήρθε από MDM και το τηλέφωνο δεν είναι το μέρος για να το διορθώσεις. Το ωφέλιμο φορτίο VPN μεταφέρει τα αναγνωριστικά, άρα η σωστή αλλαγή είναι στο προφίλ στον διακομιστή διαχείρισης και μετά η επανεγκατάστασή του στη συσκευή.

Έλεγξε στις Ρυθμίσεις > Γενικά > VPN και διαχείριση συσκευών αν το προφίλ διαχειρίζεται και ποιος το υπέγραψε. Αν δεν μπορείς να το αφαιρέσεις, δεν μπορείς να επεξεργαστείς τα αναγνωριστικά τοπικά, και ένα δεύτερο τοπικό προφίλ δημιουργεί μόνο μια συγκρουόμενη διαμόρφωση.

Πριν κλείσεις τις Ρυθμίσεις, γράψε τις τρεις συμβολοσειρές που εισήγαγες και από πού προήλθαν. Την επόμενη φορά που η σήραγγα αποτύχει, σύγκρινε το ID που έλαβε το αρχείο καταγραφής της πύλης με αυτή τη σημείωση: αν διαφέρει, κοιτάς το πεδίο, όχι τον κωδικό πρόσβασης.