Remote ID ב-VPN באייפון: מה המשמעות האמיתית של השדה הזה
Remote ID היא הזהות שהשרת חייב להוכיח לאייפון שלך; Local ID היא הזהות שהלקוח טוען לה. הנה איזו מחרוזת שייכת לכל שדה.
אתה בהגדרות ומוסיף תצורת IKEv2, ושני שדות דורשים טקסט שאף אחד לא נתן לך: Remote ID ו-Local ID. אף אחד מהם אינו שם המשתמש שלך, ואף אחד מהם אינו עותק שני של השדה Server. Remote ID היא הזהות שהשער חייב להוכיח לאייפון שלך; Local ID היא הזהות שהאייפון שלך טוען לה מול השער. טעות באחד מהם והמנהרה מתה אחרי שהשרת כבר ענה, ולכן התקלה נראית כמו בעיית סיסמה אך אינה כזו.
היכן השדות נמצאים ב-iOS
פתח הגדרות > כללי > VPN וניהול מכשירים > VPN והוסף תצורת IKEv2. תחת אימות אתה בוחר שם משתמש או תעודה, ורק אז מופיעים Remote ID ו-Local ID כתיבות טקסט חופשי. אלה מזהים, לא כתובות: iOS נושא אותם בחילופי IKE_AUTH, שבהם IKEv2 מכנה את זהות היוזם IDi ואת זהות המשיב IDr.
אחרי השמירה iOS מקפל את התצורה לשורה אחת ומפסיק להציג את הערכים. הקש על כפתור המידע או פתח שוב את הפרופיל לפני שתסיק שהשדות ריקים. תצורה שנדחפה מ-MDM עשויה להפוך אותם לאפורים לגמרי, וזה משנה מי יכול לתקן את הבעיה.
Remote ID הוא שמו של השער
זה הערך שהאייפון שלך מצפה שהשרת יוכיח. באימות בתעודה הוא מושווה לשם בתעודת השרת, בדרך כלל ה-subject או רשומת subjectAltName. אם התעודה הונפקה עבור vpn.example.com, שם המארח הזה הוא ה-Remote ID, גם כשאתה מגיע למכונה בכתובת IP חשופה.
אי-ההתאמה הזו היא התקלה הקלאסית: חבילות מגיעות, השרת עונה, והחיבור בכל זאת קורס כי הזהות בתעודה אינה תואמת למה שהפרופיל דרש. הפניית השדה Server ל-IP הגולמי לא עוזרת, ובשערים רבים השרת פשוט מפסיק להגיב לזהות שהוא לא מצליח להתאים.
לשער יש הגדרה מתאימה. שרת strongSwan שולח את זהותו עם leftid ויכול להגביל את זהות הלקוח עם rightid; אם שני הצדדים לא מסכימים על המחרוזת, IKE_AUTH נכשל בשני הכיוונים. שאל את המפעיל עבור איזו זהות הונפקה התעודה במקום להעתיק את הכתובת משורת הדפדפן.
אפל מתעדת את מפתחות המטען כ-RemoteIdentifier ו-LocalIdentifier במסמך מדריך הגדרות IKEv2 שלה. שניהם מחרוזות רגילות, ולכן רישיות ורווח בסוף יכולים להיות משמעותיים.
Local ID הוא מה שהאייפון שלך טוען
באימות בשם משתמש EAP בודק את השם והסיסמה, ו-Local ID היא זהות IKE נפרדת שחלק מהשערים גם אוכפים. שער עשוי לדרוש ש-Local ID יהיה שווה לשם המשתמש, יהיה כתובת דואר אלקטרוני, או יתאים לרשומה במדיניות החיבורים שלו; אחרים מתעלמים ממנה. השארתו ריקה בטוחה רק כשהמפעיל אומר כך.
באימות בתעודה Local ID אמור להתאים לזהות שהשער מקבל עבור תעודת הלקוח הזו, לעתים קרובות השם הנפוץ של התעודה או ערך שממופה לרשומת מכשיר. העתקת פרופיל של עמית מעתיקה גם את זהותו. במקרה הטוב השער רושם את המכשיר הלא נכון; במקרה הרע מדיניות לכל מכשיר דוחה אותך.
המלכודת היא להניח שריק פירושו בלי זהות. אל תמלא שדה ריק בכתובת הדואר האלקטרוני שלך רק כי הוא נראה לא גמור. אמת את הערך המיועד והזן אותו בדיוק כפי שניתן.
בדיקה של חמש דקות לפני השמירה
עבור עליהם לפי הסדר; הצעד הראשון שנכשל הוא זה שצריך לתקן.
- השג שלוש מחרוזות מהמפעיל: השם בתעודת השרת, ה-Local ID הצפוי ושיטת האימות.
- התאם את שיטת האימות. Remote ID ו-Local ID אינם מחליפים שם משתמש וסיסמה, ופרופיל תעודה לא יקבל סיסמה.
- הקלד את הערכים בדיוק, כולל רישיות, בלי רווח בסוף.
- השאר את אימות התעודות פועל. התקנת תעודת שורש לא קשורה כדי להשתיק אזהרה מסתירה אי-התאמת שם במקום לתקן אותה.
- בדוק בנתונים סלולריים, לא ב-Wi-Fi של המשרד, כדי שפורטל לכידה או DNS מפוצל לא ייראו כמו בעיית זהות.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
קרא את הטבלה מלמעלה. פסק זמן בשורת Server פירושו ששדות הזהות מעולם לא נבדקו, ולכן עצור שם. שגיאה שמופיעה רק אחרי שהשרת ענה היא כמעט תמיד אי-התאמה של Remote ID או Local ID.
שגיאות שמצביעות על השדה הלא נכון
הודעה כמו "User authentication failed" עוסקת בהרשאות או ב-EAP, לא ב-Remote ID. אזהרת תעודה עוסקת בשם בתעודה, ושם נפגשים Remote ID והשדה Server. "The VPN server did not respond" בדרך כלל אומר ש-UDP 500 ו-4500 לא הושלמו, או שמעבר NAT נכשל, ושאומה זהות לא הושוותה.
בצד השער כשלי זהות נראים אחרת: העמית נדחה במהלך IKE_AUTH, או שהיומן מציין את ה-ID שהלקוח שלח ואומר שהוא לא תואם לאף חיבור. שורת יומן זו היא הדרך המהירה ביותר להכריע בוויכוח, כי היא מציגה את המחרוזת המדויקת שהטלפון שלח.
איפוס סיסמה לא יתקן זהות שרת מצופה, ושינוי Remote ID לא יתקן סיסמה שגויה. הפרד קודם את השלב, ואז ערוך את השדה ששייך לאותו שלב.
כשהפרופיל מנוהל
אם השדות אפורים, התצורה הגיעה מ-MDM והטלפון אינו המקום לתקן אותה. מטען ה-VPN נושא את המזהים, ולכן השינוי הנכון הוא בפרופיל בשרת הניהול, ואחריו התקנה מחדש במכשיר.
בדוק בהגדרות > כללי > VPN וניהול מכשירים אם הפרופיל מנוהל ומי חתם עליו. אם אינך יכול להסיר אותו, אינך יכול לערוך את המזהים מקומית, ובניית פרופיל מקומי נוסף רק יוצרת תצורה מתנגשת.
לפני שתסגור את ההגדרות, רשום את שלוש המחרוזות שהזנת ומאין הן באו. בפעם הבאה שהמנהרה תיכשל, השווה את ה-ID שהתקבל ביומן השער לרשומה הזו: אם הוא שונה, אתה מסתכל על השדה, לא על הסיסמה.