Remote ID na VPN do iPhone: que significa realmente ese campo
Remote ID é a identidade que o servidor debe demostrar ao iPhone; Local ID é a identidade que reclama o cliente. Aquí está que cadea vai en cada campo.
Estás en Axustes engadindo unha configuración IKEv2, e dous campos piden un texto que ninguén che deu: Remote ID e Local ID. Ningún é o teu nome de usuario, e ningún é unha segunda copia do campo Servidor. Remote ID é a identidade que a pasarela debe demostrar ao teu iPhone; Local ID é a identidade que o teu iPhone reclama á pasarela. Se fallas en calquera, o túnel morre despois de que o servidor xa respondese, e por iso o fallo parece un problema de contrasinal sen selo.
Onde están os campos en iOS
Abre Axustes > Xeral > VPN e xestión de dispositivos > VPN e engade unha configuración IKEv2. En Autenticación elixes Nome de usuario ou Certificado, e só entón aparecen Remote ID e Local ID como caixas de texto libre. Son identificadores, non enderezos: iOS lévaos no intercambio IKE_AUTH, onde IKEv2 chama IDi á identidade do iniciador e IDr á do respondedor.
Despois de gardar, iOS prega a configuración nunha soa fila e deixa de mostrar os valores. Toca o botón de información ou volve abrir o perfil antes de concluír que os campos están baleiros. Unha configuración enviada por MDM pode deixalos completamente en gris, o que cambia quen pode arranxar o problema.
Remote ID é o nome da pasarela
Este é o valor que o teu iPhone espera que o servidor demostre. Con autenticación por certificado compárase co nome do certificado do servidor, normalmente o subject ou unha entrada subjectAltName. Se o certificado se emitiu para vpn.example.com, ese nome de host é o Remote ID, mesmo cando chegas ao equipo por un enderezo IP espido.
Ese desaxuste é o fallo clásico: chegan paquetes, o servidor responde e a conexión cae igualmente porque a identidade do certificado non coincide co que esixía o perfil. Apuntar o campo Servidor ao IP cru non axuda, e en moitas pasarelas o servidor simplemente deixa de responder a unha identidade que non pode emparellar.
A pasarela ten un axuste equivalente. Un servidor strongSwan envía a súa propia identidade con leftid e pode restrinxir a identidade do cliente con rightid; se as dúas partes non coinciden na cadea, IKE_AUTH falla en ambos os sentidos. Pregúntalle ao operador para que identidade se emitiu o certificado en lugar de copiar a URL da barra do navegador.
Apple documenta as claves da carga como RemoteIdentifier e LocalIdentifier na súa referencia de axustes de IKEv2. Ambas son cadeas simples, así que as maiúsculas e un espazo final poden importar.
Local ID é o que reclama o teu iPhone
Con autenticación por nome de usuario, EAP comproba o nome e o contrasinal, e Local ID é unha identidade IKE aparte que algunhas pasarelas tamén esixen. Unha pasarela pode requirir que Local ID sexa igual ao nome de usuario, sexa un enderezo de correo ou coincida cunha entrada da súa política de conexións; outras ignórano. Deixalo baleiro só é seguro cando o operador o di.
Con autenticación por certificado, Local ID debe coincidir cunha identidade que a pasarela acepte para ese certificado de cliente, a miúdo o nome común do certificado ou un valor asociado a un rexistro de dispositivo. Copiar o perfil dun compañeiro copia tamén a súa identidade. No mellor caso a pasarela rexistra o dispositivo equivocado; no peor, unha política por dispositivo rexéitate.
A trampa é supoñer que baleiro significa ningunha identidade. Non enchas un campo baleiro co teu enderezo de correo só porque parece inacabado. Confirma o valor previsto e introdúceo exactamente como cho deron.
Unha comprobación de cinco minutos antes de gardar
Percórreos en orde; o primeiro paso que falla é o que hai que arranxar.
- Consegue tres cadeas do operador: o nome do certificado do servidor, o Local ID esperado e o método de autenticación.
- Axusta o método de autenticación. Remote ID e Local ID non substitúen un nome de usuario e un contrasinal, e un perfil de certificado non aceptará un contrasinal.
- Escribe os valores exactamente, con maiúsculas e minúsculas, sen espazo final.
- Mantén activada a validación de certificados. Instalar un certificado raíz alleo para silenciar un aviso oculta un desaxuste de nome en lugar de arranxalo.
- Proba con datos móbiles, non co Wi-Fi da oficina, para que un portal cativo ou un DNS dividido non se fagan pasar por un problema de identidade.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Le a táboa de arriba abaixo. Un tempo de espera na fila Servidor significa que os campos de identidade nunca se probaron, así que detente aí. Un erro que só aparece despois de que o servidor respondese é case sempre un desaxuste de Remote ID ou Local ID.
Erros que sinalan o campo equivocado
Unha mensaxe como "User authentication failed" trata de credenciais ou EAP, non de Remote ID. Un aviso de certificado trata do nome do certificado, e aí é onde se atopan Remote ID e o campo Servidor. "The VPN server did not respond" adoita significar que UDP 500 e 4500 nunca se completaron, ou que fallou o traversal de NAT, e que non se comparou ningunha identidade.
Do lado da pasarela, os fallos de identidade vense distintos: o peer rexéitase durante IKE_AUTH, ou o rexistro nomea o ID que enviou o cliente e di que non coincide con ningunha conexión. Esa liña do rexistro é a forma máis rápida de resolver a discusión, porque mostra a cadea exacta que enviou o teléfono.
Restablecer un contrasinal non reparará unha identidade de servidor esperada, e cambiar Remote ID non reparará un contrasinal incorrecto. Separa primeiro a etapa e logo edita o campo que pertence a esa etapa.
Cando o perfil está xestionado
Se os campos están en gris, a configuración veu de MDM e o teléfono non é o lugar para arranxalo. A carga de VPN leva os identificadores, así que o cambio correcto está no perfil do servidor de xestión, seguido de reinstalalo no dispositivo.
Comproba en Axustes > Xeral > VPN e xestión de dispositivos se o perfil está xestionado e quen o asinou. Se non podes eliminalo, non podes editar os identificadores localmente, e crear un segundo perfil local só xera unha configuración en conflito.
Antes de pechar Axustes, apunta as tres cadeas que introduciches e de onde saíron. A próxima vez que falle o túnel, compara o ID recibido no rexistro da pasarela con esa nota: se difire, estás mirando o campo, non o contrasinal.