Remote ID iPhone-VPN:ssä: mitä kenttä oikeastaan tarkoittaa
Remote ID on identiteetti, joka palvelimen on todistettava iPhonellesi; Local ID on identiteetti, jonka asiakas väittää. Tässä kerrotaan, mikä merkkijono kuuluu mihinkin kenttään.
Olet Asetuksissa lisäämässä IKEv2-määritystä, ja kaksi kenttää pyytää tekstiä, jota kukaan ei antanut sinulle: Remote ID ja Local ID. Kumpikaan ei ole käyttäjänimesi, eikä kumpikaan ole Server-kentän toinen kopio. Remote ID on identiteetti, joka yhdyskäytävän on todistettava iPhonellesi; Local ID on identiteetti, jonka iPhonesi väittää yhdyskäytävälle. Jos erehdyt kummassa tahansa, tunneli kuolee sen jälkeen, kun palvelin on jo vastannut, ja siksi vika näyttää salasanan ongelmalta, vaikka ei ole.
Missä kentät ovat iOS:ssä
Avaa Asetukset > Yleiset > VPN ja laitehallinta > VPN ja lisää IKEv2-määritys. Kohdassa Todennus valitset Käyttäjänimen tai Varmenne, ja vasta silloin Remote ID ja Local ID ilmestyvät vapaan tekstin kenttinä. Ne ovat tunnisteita, eivät osoitteita: iOS kuljettaa niitä IKE_AUTH-vaihdossa, jossa IKEv2 kutsuu aloittajan identiteettiä IDi:ksi ja vastaajan identiteettiä IDr:ksi.
Kun tallennat, iOS taittaa määrityksen yhdeksi riviksi eikä enää näytä arvoja. Napauta tietopainiketta tai avaa profiili uudelleen ennen kuin päättelet kenttien olevan tyhjiä. MDM:n lähettämä määritys voi harmaannuttaa ne kokonaan, mikä muuttaa sitä, kuka voi korjata ongelman.
Remote ID on yhdyskäytävän nimi
Tämä on arvo, jonka iPhonesi odottaa palvelimen todistavan. Varmenteen todennuksessa sitä verrataan palvelimen varmenteessa olevaan nimeen, yleensä subjectiin tai subjectAltName-merkintään. Jos varmenne on myönnetty osoitteelle vpn.example.com, tuo isäntänimi on Remote ID, vaikka saavuttaisit laitteen pelkällä IP-osoitteella.
Tuo epäsuhta on klassinen vika: paketit saapuvat, palvelin vastaa, ja yhteys kaatuu silti, koska varmenteen identiteetti ei vastaa sitä, mitä profiili vaati. Server-kentän osoittaminen raakaan IP:hen ei auta, ja monissa yhdyskäytävissä palvelin lopettaa yksinkertaisesti vastaamisen identiteetille, jota se ei saa täsmäämään.
Yhdyskäytävällä on vastaava asetus. strongSwan-palvelin lähettää oman identiteettinsä leftid:llä ja voi rajoittaa asiakkaan identiteettiä rightid:llä; jos kaksi puolta ovat eri mieltä merkkijonosta, IKE_AUTH epäonnistuu molempiin suuntiin. Kysy operaattorilta, mille identiteetille varmenne on myönnetty, sen sijaan että kopioisit URL:n selaimen osoiteriviltä.
Apple dokumentoi hyötykuorman avaimet nimillä RemoteIdentifier ja LocalIdentifier IKEv2-asetusten viitteessään. Molemmat ovat tavallisia merkkijonoja, joten kirjainkoolla ja lopun välilyönnillä voi olla merkitystä.
Local ID on se, mitä iPhonesi väittää
Käyttäjänimen todennuksessa EAP tarkistaa käyttäjänimen ja salasanan, ja Local ID on erillinen IKE-identiteetti, jota jotkin yhdyskäytävät myös vaativat. Yhdyskäytävä voi vaatia, että Local ID vastaa käyttäjänimeä, on sähköpostiosoite tai täsmää sen yhteyspolitiikan merkintään; toiset jättävät sen huomiotta. Tyhjäksi jättäminen on turvallista vain, kun operaattori niin sanoo.
Varmenteen todennuksessa Local ID:n pitäisi vastata identiteettiä, jonka yhdyskäytävä hyväksyy kyseiselle asiakasvarmenteelle, usein varmenteen yleisnimeä tai laitetietueeseen liitettyä arvoa. Kollegan profiilin kopioiminen kopioi myös hänen identiteettinsä. Parhaimmillaan yhdyskäytävä kirjaa väärän laitteen, pahimmillaan laitekohtainen käytäntö hylkää sinut.
Ansa on olettaa, että tyhjä tarkoittaa ei identiteettiä. Älä täytä tyhjää kenttää sähköpostiosoitteellasi vain siksi, että se näyttää keskeneräiseltä. Vahvista tarkoitettu arvo ja syötä se täsmälleen annetussa muodossa.
Viiden minuutin tarkistus ennen tallennusta
Käy ne järjestyksessä läpi; ensimmäinen epäonnistuva vaihe on korjattava.
- Hanki operaattorilta kolme merkkijonoa: palvelimen varmenteen nimi, odotettu Local ID ja todennusmenetelmä.
- Sovita todennusmenetelmä. Remote ID ja Local ID eivät korvaa käyttäjänimeä ja salasanaa, eikä varmenneprofiili hyväksy salasanaa.
- Kirjoita arvot täsmälleen, kirjainkoko mukaan lukien, ilman lopun välilyöntiä.
- Pidä varmenteen vahvistus päällä. Asiaankuulumattoman juurivarmenteen asentaminen varoituksen vaientamiseksi piilottaa nimen epäsuhdan sen sijaan että korjaisi sen.
- Testaa mobiilidatalla, älä toimiston Wi-Fi:llä, jotta captive-portaali tai jaettu DNS ei esiinny identiteettiongelmana.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Lue taulukkoa ylhäältä. Aikakatkaisu Server-rivillä tarkoittaa, että identiteettikenttiä ei koskaan testattu, joten pysähdy siihen. Virhe, joka ilmestyy vasta palvelimen vastattua, on lähes aina Remote ID:n tai Local ID:n epäsuhta.
Virheet jotka osoittavat väärään kenttään
Viesti kuten "User authentication failed" koskee tunnuksia tai EAP:ta, ei Remote ID:tä. Varmennevaroitus koskee varmenteen nimeä, ja siinä Remote ID ja Server-kenttä kohtaavat. "The VPN server did not respond" tarkoittaa yleensä, että UDP 500 ja 4500 eivät koskaan valmistuneet tai NAT-läpäisy epäonnistui, eikä yhtään identiteettiä verrattu.
Yhdyskäytävän puolella identiteettivirheet näyttävät erilaisilta: peer hylätään IKE_AUTH:n aikana, tai loki nimeää asiakkaan lähettämän ID:n ja sanoo, ettei se vastaa mitään yhteyttä. Tuo lokirivi on nopein tapa ratkaista kiista, koska se näyttää täsmällisen merkkijonon, jonka puhelin lähetti.
Salasanan vaihtaminen ei korjaa odotettua palvelinidentiteettiä, eikä Remote ID:n muuttaminen korjaa väärää salasanaa. Erottele ensin vaihe ja muokkaa sitten kenttää, joka kuuluu siihen vaiheeseen.
Kun profiilia hallitaan
Jos kentät ovat harmaita, määritys tuli MDM:stä eikä puhelin ole paikka, jossa se korjataan. VPN-hyötykuorma kuljettaa tunnisteet, joten oikea muutos on hallintapalvelimen profiilissa ja sen jälkeen sen asentaminen uudelleen laitteeseen.
Tarkista Asetukset > Yleiset > VPN ja laitehallinta -kohdasta, hallitaanko profiilia ja kuka sen allekirjoitti. Jos et voi poistaa sitä, et voi muokata tunnisteita paikallisesti, ja toinen paikallinen profiili luo vain ristiriitaisen määrityksen.
Ennen kuin suljet Asetukset, kirjoita muistiin kolme merkkijonoa, jotka syötit, ja mistä ne tulivat. Kun tunneli seuraavan kerran epäonnistuu, vertaa yhdyskäytävän lokin vastaanottamaa ID:tä tuohon muistiinpanoon: jos se eroaa, katsot kenttää, et salasanaa.