Remote ID iPhone'i VPN-is: mida see väli tegelikult tähendab

Oled Seadetes ja lisad IKEv2 konfiguratsiooni, ning kaks välja nõuavad teksti, mida keegi sulle ei andnud: Remote ID ja Local ID. Kumbki ei ole sinu kasutajanimi ja kumbki ei ole Server-välja teine koopia. Remote ID on identiteet, mille lüüs peab sinu iPhone'ile tõestama; Local ID on identiteet, mida sinu iPhone lüüsile väidab. Kui eksid kummaski, sureb tunnel pärast seda, kui server on juba vastanud, ja seetõttu näeb tõrge välja nagu parooliprobleem, kuigi seda pole.

Kus väljad iOS-is asuvad

Ava Seaded > Üldine > VPN ja seadmehaldus > VPN ning lisa IKEv2 konfiguratsioon. Autentimise all valid Kasutajanime või Sertifikaadi, ja alles siis ilmuvad Remote ID ja Local ID vaba tekstina. Need on identifikaatorid, mitte aadressid: iOS kannab neid IKE_AUTH vahetuses, kus IKEv2 nimetab algataja identiteedi IDi ja vastaja identiteedi IDr.

Pärast salvestamist voldib iOS konfiguratsiooni ühte ritta ja lõpetab väärtuste näitamise. Puuduta info-nuppu või ava profiil uuesti, enne kui järeldad, et väljad on tühjad. MDM-i kaudu saadetud konfiguratsioon võib need täiesti halliks muuta, mis muudab seda, kes saab probleemi parandada.

Remote ID on lüüsi nimi

See on väärtus, mille tõestamist sinu iPhone serverilt ootab. Sertifikaadi autentimisel võrreldakse seda serveri sertifikaadis oleva nimega, tavaliselt subject või subjectAltName kirjega. Kui sertifikaat on välja antud vpn.example.com jaoks, on see hostinimi Remote ID, isegi kui jõuad masinani palja IP-aadressi kaudu.

See lahknevus on klassikaline tõrge: paketid saabuvad, server vastab, ja ühendus variseb siiski kokku, sest sertifikaadis olev identiteet ei vasta sellele, mida profiil nõudis. Server-välja suunamine toorale IP-le ei aita, ja paljudel lüüsidel lõpetab server lihtsalt identiteedile vastamise, mida ta sobitada ei suuda.

Lüüsil on vastav säte. strongSwan server saadab oma identiteedi leftid abil ja saab kliendi identiteeti rightid abil piirata; kui kaks poolt ei nõustu stringi osas, ebaõnnestub IKE_AUTH mõlemas suunas. Küsi operaatorilt, millise identiteedi jaoks sertifikaat välja anti, selle asemel et brauseriribalt URL-i ümber kirjutada.

Apple dokumenteerib lasti võtmed kui RemoteIdentifier ja LocalIdentifier oma IKEv2 seadete teatmikus. Mõlemad on tavalised stringid, seega suur- ja väiketähed ning lõpus olev tühik võivad loendada.

Local ID on see, mida sinu iPhone väidab

Kasutajanime autentimisel kontrollib EAP kasutajanime ja parooli, ning Local ID on eraldi IKE identiteet, mida mõned lüüsid samuti nõuavad. Lüüs võib nõuda, et Local ID võrduks kasutajanimega, oleks e-posti aadress või vastaks tema ühenduspoliitika kirjele; teised eiravad seda. Tühjaks jätmine on turvaline ainult siis, kui operaator nii ütleb.

Sertifikaadi autentimisel peaks Local ID vastama identiteedile, mille lüüs selle kliendisertifikaadi jaoks aktsepteerib, sageli sertifikaadi üldnimi või seadmekirjega seotud väärtus. Kolleegi profiili kopeerimine kopeerib ka tema identiteedi. Parimal juhul logib lüüs vale seadme, halvimal juhul lükkab seadmepõhine poliitika sinu tagasi.

Lõks on eeldada, et tühi tähendab identiteedi puudumist. Ära täida tühja välja oma e-posti aadressiga ainult sellepärast, et see näeb lõpetamata välja. Kinnita kavandatud väärtus ja sisesta see täpselt nii, nagu anti.

Viie minuti kontroll enne salvestamist

Käi need järjekorras läbi; esimene ebaõnnestuv samm on see, mida parandada.

1. Hangi operaatorilt kolm stringi: serveri sertifikaadis olev nimi, oodatav Local ID ja autentimismeetod.
2. Sobita autentimismeetod. Remote ID ja Local ID ei asenda kasutajanime ja parooli ning sertifikaadiprofiil ei võta parooli vastu.
3. Sisesta väärtused täpselt, koos suur- ja väiketähtedega, ilma lõputühikuta.
4. Jäta sertifikaadi valideerimine sisse. Mitteseotud juursertifikaadi paigaldamine hoiatuse vaigistamiseks peidab nime lahknevuse, selle asemel et see parandada.
5. Testi mobiilsel andmesidel, mitte kontori Wi-Fi-s, et captive-portaal või jaotatud DNS ei esineks identiteediprobleemina.

Loe tabelit ülalt. Server-rea timeout tähendab, et identiteedivälju ei testitud kunagi, seega peatu seal. Viga, mis ilmub alles pärast serveri vastust, on peaaegu alati Remote ID või Local ID lahknevus.

Vead, mis osutavad valele väljale

Sõnum nagu "User authentication failed" puudutab mandaate või EAP-d, mitte Remote ID-d. Sertifikaadi hoiatus puudutab sertifikaadis olevat nime, ja just seal kohtuvad Remote ID ja Server-väli. "The VPN server did not respond" tähendab tavaliselt, et UDP 500 ja 4500 ei jõudnud kunagi lõpuni või NAT-i läbimine ebaõnnestus, ja ühtki identiteeti ei võrreldud.

Lüüsi poolel näevad identiteeditõrked teistsugused välja: peer lükatakse IKE_AUTH ajal tagasi või logi nimetab kliendi saadetud ID-d ja ütleb, et see ei vasta ühelegi ühendusele. See logirida on kiireim viis vaidluse lahendamiseks, sest näitab täpset stringi, mille telefon saatis.

Parooli lähtestamine ei paranda oodatavat serveri identiteeti ja Remote ID muutmine ei paranda valet parooli. Eralda esmalt etapp, seejärel muuda välja, mis sellesse etappi kuulub.

Kui profiil on hallatud

Kui väljad on hallid, tuli konfiguratsioon MDM-ist ja telefon ei ole koht, kus seda parandada. VPN-i lasti kannab identifikaatoreid, seega õige muudatus on haldusserveri profiilis, millele järgneb selle uuesti paigaldamine seadmesse.

Kontrolli Seaded > Üldine > VPN ja seadmehaldus all, kas profiil on hallatud ja kes selle allkirjastas. Kui sa ei saa seda eemaldada, ei saa sa identifikaatoreid lokaalselt muuta, ja teise lokaalse profiili loomine tekitab ainult vastuolulise konfiguratsiooni.

Enne kui Seaded sulged, pane kirja kolm stringi, mille sisestasid, ja kust need pärinevad. Järgmisel korral, kui tunnel ebaõnnestub, võrdle lüüsi logi saadud ID-d selle märkmega: kui see erineb, vaatad sa välja, mitte parooli.