iPhone-eko VPN-ko Remote ID: zeri egia esan nahi duen eremu horrek
Remote ID zerbitzariak zure iPhone-ari frogatu behar dion identitatea da; Local ID bezeroak aldarrikatzen duen identitatea. Hona hemen zein kate dagokion zein eremuri.
Ezarpenetan zaude IKEv2 konfigurazio bat gehitzen, eta bi eremuk inork eman ez dizun testua eskatzen dute: Remote ID eta Local ID. Bat ere ez da zure erabiltzaile-izena, eta bat ere ez da Server eremuaren bigarren kopia. Remote ID atebideak zure iPhone-ari frogatu behar dion identitatea da; Local ID zure iPhone-ak atebideari aldarrikatzen dion identitatea da. Edozeinetan huts egiten baduzu, tunela hiltzen da zerbitzariak jada erantzun ondoren, eta horregatik hutsak pasahitz arazo bat dirudi, baina ez da.
Non dauden eremuak iOS-en
Ireki Ezarpenak > Orokorra > VPN eta gailuen kudeaketa > VPN eta gehitu IKEv2 konfigurazio bat. Autentifikazioan Erabiltzaile-izena edo Ziurtagiria aukeratzen duzu, eta orduan soilik agertzen dira Remote ID eta Local ID testu libreko kaxa gisa. Identifikatzaileak dira, ez helbideak: iOS-ek IKE_AUTH trukean eramaten ditu, non IKEv2-k hastatzailearen identitatea IDi deitzen duen eta erantzulearena IDr.
Gorde ondoren, iOS-ek konfigurazioa errenkada bakarrean tolesten du eta ez ditu balioak erakusten. Sakatu informazio-botoia edo ireki berriro profila eremuak hutsik daudela ondorioztatu aurretik. MDM-k bidalitako konfigurazio batek erabat gristatu ditzake, eta horrek aldatzen du nork konpondu dezakeen arazoa.
Remote ID atebidearen izena da
Hau da zure iPhone-ak zerbitzariari frogatzeko espero duen balioa. Ziurtagiri bidezko autentifikazioan zerbitzariaren ziurtagiriko izenarekin alderatzen da, normalean subject edo subjectAltName sarrera batekin. Ziurtagiria vpn.example.com-rentzat jaulki bada, ostalari-izen hori da Remote ID, makinaraino IP helbide soil batekin iristen zarenean ere.
Desdoitze hori hutsegite klasikoa da: paketeak iristen dira, zerbitzariak erantzuten du, eta konexioa hala ere erortzen da ziurtagiriko identitatea profilean eskatutakoarekin bat ez datorrelako. Server eremua IP gordinean jartzeak ez du laguntzen, eta atebide askotan zerbitzariak bat etorri ezin duen identitateari erantzuteari uzten dio.
Atebideak dagokion ezarpena du. strongSwan zerbitzari batek bere identitatea leftid bidez bidaltzen du eta bezeroaren identitatea rightid bidez murriztu dezake; bi aldeak katean ados ez badaude, IKE_AUTH-ek bi norabideetan huts egiten du. Galdetu operadoreari ziurtagiria zein identitatearentzat jaulki zen, nabigatzailearen barrako URLa kopiatu beharrean.
Apple-k kargaren gakoak RemoteIdentifier eta LocalIdentifier gisa dokumentatzen ditu bere IKEv2 ezarpenen erreferentzian. Biak kate soilak dira, beraz maiuskulak eta amaierako zuriune bat garrantzitsuak izan daitezke.
Local ID zure iPhone-ak aldarrikatzen duena da
Erabiltzaile-izen bidezko autentifikazioan EAP-k erabiltzaile-izena eta pasahitza egiaztatzen ditu, eta Local ID IKE identitate bereizia da, atebide batzuek ere behartzen dutena. Atebide batek eska dezake Local ID erabiltzaile-izenaren berdina izatea, helbide elektronikoa izatea edo bere konexio-politikako sarrera batekin bat etortzea; beste batzuek ez dute kontuan hartzen. Hutsik uztea segurua da operadoreak hala esaten duenean soilik.
Ziurtagiri bidezko autentifikazioan Local ID-k atebideak bezero-ziurtagiri horretarako onartzen duen identitate batekin bat etorri behar du, sarritan ziurtagiriaren izen arrunta edo gailu-erregistro bati lotutako balioa. Lankide baten profila kopiatzeak haren identitatea ere kopiatzen du. Onenean atebideak gailu okerra erregistratzen du; txarrenean gailuko politika batek uzten zaitu.
Tranpa hutsak identitaterik ez duela suposatzea da. Ez bete eremu huts bat zure helbide elektronikoarekin amaitu gabe dirudielako soilik. Egiaztatu balio asmoa eta sartu emandako modu zehatzean.
Bost minutuko egiaztapena gorde aurretik
Egin horiek ordenan; huts egiten duen lehen urratsa da konpondu beharrekoa.
- Lortu hiru kate operadorearengandik: zerbitzariaren ziurtagiriko izena, espero den Local ID eta autentifikazio-metodoa.
- Egokitu autentifikazio-metodoa. Remote ID-k eta Local ID-k ez dute erabiltzaile-izenik eta pasahitzik ordezkatzen, eta ziurtagiri-profil batek ez du pasahitzik onartuko.
- Idatzi balioak zehazki, maiuskulak eta minuskulak barne, amaierako zuriunerik gabe.
- Utzi ziurtagirien balidazioa piztuta. Abisu bat isilarazteko erlaziorik gabeko erro-ziurtagiri bat instalatzeak izenen desdoitzea ezkutatzen du, konpondu beharrean.
- Probatu datu mugikorrarekin, ez bulegoko Wi-Fi-rekin, kapturatutako atari edo DNS zatitu bat identitate-arazo gisa aurkez ez dadin.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Irakurri taula goitik behera. Server errenkadan denbora-muga batek identitate-eremuak inoiz probatu ez zirela esan nahi du, beraz gelditu hor. Zerbitzariak erantzun ondoren soilik agertzen den errorea ia beti da Remote ID edo Local ID desdoitzea.
Eremu okerra seinalatzen duten erroreak
"User authentication failed" bezalako mezu bat kredentzial edo EAP-i buruzkoa da, ez Remote ID-ri buruzkoa. Ziurtagiri-abisu bat ziurtagiriko izenari buruzkoa da, eta han elkartzen dira Remote ID eta Server eremua. "The VPN server did not respond" esan nahi du normalean UDP 500 eta 4500 ez zirela inoiz osatu, edo NAT zeharkaldiak huts egin zuela, eta identitaterik ez zela alderatu.
Atebidearen aldean identitate-hutsegiteak desberdin ikusten dira: peer-a IKE_AUTH bitartean baztertzen da, edo log-ak bezeroak bidalitako ID-a aipatzen du eta ez dela inongo konexirekin bat egiten dio. Log lerro hori da eztabaida konpontzeko modurik azkarrena, telefonuak bidalitako kate zehatza erakusten duelako.
Pasahitz bat berrezartzeak ez du espero den zerbitzari-identitate bat konponduko, eta Remote ID aldatzeak ez du pasahitz oker bat konponduko. Bereizi etapa lehenik, eta gero editatu etapa horri dagokion eremua.
Profila kudeatuta dagoenean
Eremuak grisak badira, konfigurazioa MDM-tik etorri da eta telefonoa ez da hori konpontzeko lekua. VPN kargak identifikatzaileak daramatza, beraz aldaketa zuzena kudeaketa-zerbitzariko profilean dago, eta ondoren gailuan berriro instalatzea.
Egiaztatu Ezarpenak > Orokorra > VPN eta gailuen kudeaketa atalean profila kudeatuta dagoen eta nork sinatu zuen. Ezin baduzu kendu, ezin dituzu identifikatzaileak lokalki editatu, eta bigarren profil lokal bat sortzeak konfigurazio gatazkatsu bat besterik ez du eragiten.
Ezarpenak itxi aurretik, idatzi sartu dituzun hiru kateak eta nondik etorri diren. Hurrengo aldiz tunelak huts egiten duenean, alderatu atebidearen log-ak jasotako ID-a ohar horrekin: desberdina bada, eremua ari zara begiratzen, ez pasahitza.