Remote ID yn VPN op iPhone: wat dat fjild echt betsjut
Remote ID is de identiteit dy’t de tsjinner bewize moat oan dyn iPhone; Local ID is de identiteit dy’t de klant bewearret. Hjir is hokker string yn hokker fjild heart.
Do bist yn Ynstellings in IKEv2-konfiguraasje oan it taheakjen, en twa fjilden freegje tekst dy’t nimmen dy jûn hat: Remote ID en Local ID. Gjint fan beide is dyn brûkersnamme, en gjint is in twadde kopy fan it fjild Server. Remote ID is de identiteit dy’t de gateway oan dyn iPhone bewize moat; Local ID is de identiteit dy’t dyn iPhone oan de gateway bewearret. Dochst it iene of oare ferkeard, dan stjert de tunnel neidat de tsjinner al antwurde hat, en dêrom liket de flater op in wachtwurdprobleem sûnder dat it dat is.
Wêr’t de fjilden yn iOS steane
Iepenje Ynstellings > Algemien > VPN en apparaatbehear > VPN en heakje in IKEv2-konfiguraasje ta. Under Autentikaasje kiest dy Brûkersnamme of Sertifikaat, en pas dan ferskine Remote ID en Local ID as frije tekstfakken. It binne identifiers, gjin adressen: iOS draacht se yn ‘e IKE_AUTH-útwikseling, dêr’t IKEv2 de identiteit fan ‘e inisjator IDi neamt en dy fan ‘e antwurder IDr.
Nei’t dy bewarre hast, falt iOS de konfiguraasje op yn ien rige en lit de wearden net mear sjen. Tik op ‘e ynfoknop of iepenje it profyl wer foardat dy konkludearrest dat de fjilden leech binne. In konfiguraasje dy’t troch MDM stjoerd is, kin se hielendal griis meitsje, en dat feroaret wa’t it probleem reparearje kin.
Remote ID is de namme fan ‘e gateway
Dit is de wearde dy’t dyn iPhone ferwachtet dat de tsjinner bewizet. By sertifikaatautentikaasje wurdt dy ferlike mei de namme yn it sertifikaat fan ‘e tsjinner, meastentiids it subject of in subjectAltName-ynskriuwing. As it sertifikaat foar vpn.example.com útjûn is, is dy hostnamme de Remote ID, sels as dy de masine op in keale IP-adres berikst.
Dy misferhâlding is de klassike flater: pakketten komme oan, de tsjinner antwurdet, en dochs stoart de ferbining yn, om’t de identiteit yn it sertifikaat net oerienkomt mei wat it profyl easke. It fjild Server nei it rûge IP wize helpt net, en by in protte gateways hâldt de tsjinner gewoan op mei antwurdzjen op in identiteit dy’t er net keppelje kin.
De gateway hat in oerienkommende ynstelling. In strongSwan-tsjinner stjoert syn eigen identiteit mei leftid en kin de identiteit fan ‘e klant beheine mei rightid; as de twa kanten it net iens binne oer de string, mislearret IKE_AUTH yn beide rjochtingen. Freegje de operator foar hokker identiteit it sertifikaat útjûn is, ynstee fan de URL út ‘e browserbalke oer te skriuwen.
Apple dokumintearret de kaaiien fan ‘e lading as RemoteIdentifier en LocalIdentifier yn syn referinsje foar IKEv2-ynstellings. Beide binne gewoane strings, dus haadletters en in spaasje oan ‘e ein kinne fan belang wêze.
Local ID is wat dyn iPhone bewearret
By brûkersnamme-autentikaasje kontrolearret EAP de namme en it wachtwurd, en Local ID is in aparte IKE-identiteit dy’t guon gateways ek ôftwinge. In gateway kin easkje dat Local ID gelyk is oan ‘e brûkersnamme, in e-postadres is of oerienkomt mei in ynskriuwing yn syn ferbiningsbelied; oaren negearje it. It leech litte is allinnich feilich as de operator dat seit.
By sertifikaatautentikaasje moat Local ID oerienkomme mei in identiteit dy’t de gateway foar dat klantsertifikaat akseptearret, faak de gewoane namme fan it sertifikaat of in wearde dy’t oan in apparaatrecord keppele is. It profyl fan in kollega kopiearje kopiearret ek syn identiteit. Yn it bêste gefal logt de gateway it ferkearde apparaat; yn it slimste gefal wiist in belied per apparaat dy ôf.
De fal is oan te nimmen dat leech gjin identiteit betsjut. Folje in leech fjild net mei dyn e-postadres allinnich om’t it ûnfoltôge liket. Befêstigje de bedoelde wearde en fier dy krekt yn sa’t dy jûn is.
In kontrôle fan fiif minuten foardat dy bewarrest
Wurket se yn folchoarder ôf; de earste stap dy’t mislearret is dy’t reparearre wurde moat.
- Krij trije strings fan ‘e operator: de namme yn it sertifikaat fan ‘e tsjinner, de ferwachte Local ID en de autentikaasjemetoade.
- Koppelje de autentikaasjemetoade. Remote ID en Local ID ferfange gjin brûkersnamme en wachtwurd, en in sertifikaatprofyl akseptearret gjin wachtwurd.
- Typ de wearden krekt, mei haadletters, sûnder spaasje oan ‘e ein.
- Hâld sertifikaatfalidaasje oan. In net-besibbe woartelsertifikaat ynstallearje om in warskôging stil te meitsjen ferberget in namme-misferhâlding ynstee fan dy te reparearjen.
- Test op mobyl data, net op ‘e Wi-Fi fan kantoar, sadat in captive portal of ferdield DNS him net foar in identiteitsprobleem útjouwe.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Lês de tabel fan boppe. In timeout yn ‘e rige Server betsjut dat de identiteitsfjilden nea test binne, dus stop dêr. In flater dy’t pas ferskynt neidat de tsjinner antwurde hat, is hast altyd in misferhâlding yn Remote ID of Local ID.
Flaters dy’t nei it ferkearde fjild wize
In berjocht lykas "User authentication failed" giet oer legitimisaasjes of EAP, net oer Remote ID. In sertifikaatwarskôging giet oer de namme yn it sertifikaat, en dêr treffe Remote ID en it fjild Server elkoar. "The VPN server did not respond" betsjut meastentiids dat UDP 500 en 4500 nea foltôge binne of dat NAT-traversal mislearre, en dat gjin identiteit ferlike is.
Oan ‘e kant fan ‘e gateway sjogge identiteitsflaters der oars út: de peer wurdt by IKE_AUTH ôfwiisd, of it log neamt de ID dy’t de klant stjoerd hat en seit dat dy by gjin inkelde ferbining past. Dy logrige is de fluchste manier om it skeel te besljochtsjen, om’t er de krekte string sjen lit dy’t de telefoan stjoerd hat.
In wachtwurd opnij ynstelle reparearret gjin ferwachte tsjinneridentiteit, en Remote ID feroarje reparearret gjin ferkeard wachtwurd. Skied earst de faze, bewurkje dan it fjild dat by dy faze heart.
As it profyl beheard wurdt
As de fjilden griis binne, kaam de konfiguraasje fan MDM en de telefoan is net it plak om it te reparearjen. De VPN-lading draacht de identifiers, dus de goede feroaring is yn it profyl op ‘e beheartsjinner, folge troch it opnij ynstallearjen op it apparaat.
Kontrolearje yn Ynstellings > Algemien > VPN en apparaatbehear of it profyl beheard wurdt en wa’t it ûndertekene hat. Kinst it net ferwiderje, dan kinst de identifiers net lokaal bewurkje, en in twadde lokaal profyl makket allinnich in tsjinstridige konfiguraasje.
Foardat dy Ynstellings slútst, skriuw de trije strings op dy’t dy ynfierd hast en wêr’t se wei komme. De folgjende kear dat de tunnel mislearret, fergelykje de ID dy’t it gateway-log ûntfongen hat mei dy notysje: as er ferskilt, sjochst nei it fjild, net nei it wachtwurd.