Remote ID u VPN-u na iPhoneu: što to polje zapravo znači

U Postavkama dodaješ IKEv2 konfiguraciju, a dva polja traže tekst koji ti nitko nije dao: Remote ID i Local ID. Nijedno nije tvoje korisničko ime i nijedno nije druga kopija polja Server. Remote ID je identitet koji gateway mora dokazati tvom iPhoneu; Local ID je identitet koji tvoj iPhone tvrdi prema gatewayu. Pogriješiš li bilo koje, tunel umire nakon što je poslužitelj već odgovorio, zato kvar izgleda kao problem s lozinkom, ali nije.

Gdje se polja nalaze u iOS-u

Otvori Postavke > Općenito > VPN i upravljanje uređajima > VPN i dodaj IKEv2 konfiguraciju. Pod Autentifikacija odabireš Korisničko ime ili Certifikat i tek tada se Remote ID i Local ID pojavljuju kao polja slobodnog teksta. To su identifikatori, ne adrese: iOS ih nosi u IKE_AUTH razmjeni, gdje IKEv2 identitet inicijatora naziva IDi, a identitet sugovornika IDr.

Nakon spremanja iOS sažima konfiguraciju u jedan redak i prestaje prikazivati vrijednosti. Dodirni gumb za informacije ili ponovno otvori profil prije nego zaključiš da su polja prazna. Konfiguracija koju pošalje MDM može ih potpuno osiviti, što mijenja to tko može popraviti problem.

Remote ID je ime gatewaya

To je vrijednost koju tvoj iPhone očekuje da je poslužitelj dokaže. Uz autentifikaciju certifikatom ona se uspoređuje s imenom u poslužiteljevom certifikatu, obično sa subject ili unosom subjectAltName. Ako je certifikat izdan za vpn.example.com, to je ime hosta Remote ID, čak i kad do stroja dolaziš preko golog IP-a.

Taj nesklad klasičan je kvar: paketi dolaze, poslužitelj odgovara, a veza se ipak ruši jer se identitet u certifikatu ne podudara s onim što je profil zahtijevao. Usmjeravanje polja Server na sirovi IP ne pomaže, a na mnogim gatewayima poslužitelj jednostavno prestane odgovarati na identitet koji ne može upariti.

Gateway ima odgovarajuću postavku. strongSwan poslužitelj šalje vlastiti identitet s leftid i može ograničiti identitet klijenta s rightid; ako se dvije strane ne slažu oko niza, IKE_AUTH pada u oba smjera. Pitaj operatera za koji je identitet certifikat izdan umjesto da prepisuješ URL iz adresne trake.

Apple dokumentira ključeve korisnog tereta kao RemoteIdentifier i LocalIdentifier u referenci postavki IKEv2. Oba su obični nizovi, pa velika i mala slova te završni razmak mogu biti važni.

Local ID je ono što tvoj iPhone tvrdi

Uz autentifikaciju korisničkim imenom EAP provjerava ime i lozinku, a Local ID je zaseban IKE identitet koji neki gatewayi također provode. Gateway može zahtijevati da Local ID bude jednak korisničkom imenu, da bude e-adresa ili da se podudara s unosom u njegovoj politici veza; drugi ga zanemaruju. Ostaviti ga praznim sigurno je samo kad operater tako kaže.

Uz autentifikaciju certifikatom Local ID treba odgovarati identitetu koji gateway prihvaća za taj klijentski certifikat, često uobičajenom imenu certifikata ili vrijednosti povezanoj sa zapisom uređaja. Kopiranje profila kolege kopira i njegov identitet. U najboljem slučaju gateway zabilježi pogrešan uređaj, u najgorem politika za pojedini uređaj te odbije.

Zamka je pretpostavka da prazno znači bez identiteta. Ne popunjavaj prazno polje svojom e-adresom samo zato što izgleda nedovršeno. Potvrdi namjeravanu vrijednost i upiši je točno kako je dana.

Petominutna provjera prije spremanja

Prođi ih redom; prvi korak koji padne treba popraviti.

1. Od operatera uzmi tri niza: ime u poslužiteljevom certifikatu, očekivani Local ID i metodu autentifikacije.
2. Uskladi metodu autentifikacije. Remote ID i Local ID ne zamjenjuju korisničko ime i lozinku, a profil s certifikatom neće prihvatiti lozinku.
3. Upiši vrijednosti točno, uključujući velika i mala slova, bez završnog razmaka.
4. Ostavi provjeru certifikata uključenom. Instaliranje nepovezanog korijenskog certifikata da utišaš upozorenje skriva nesklad imena umjesto da ga popravi.
5. Testiraj na mobilnim podacima, a ne na uredskom Wi-Fi-ju, da se captivni portal ili podijeljeni DNS ne predstave kao problem identiteta.

Čitaj tablicu odozgo. Istek vremena u retku Server znači da polja identiteta nikad nisu testirana, pa tu stani. Pogreška koja se pojavi tek nakon što poslužitelj odgovori gotovo je uvijek nesklad Remote ID-a ili Local ID-a.

Pogreške koje pokazuju na pogrešno polje

Poruka poput "User authentication failed" odnosi se na vjerodajnice ili EAP, ne na Remote ID. Upozorenje o certifikatu odnosi se na ime u certifikatu, a tu se susreću Remote ID i polje Server. "The VPN server did not respond" obično znači da UDP 500 i 4500 nisu dovršeni ili da je NAT traversal pao, i da nijedan identitet nije uspoređen.

Na strani gatewaya kvarovi identiteta izgledaju drukčije: peer se odbija tijekom IKE_AUTH ili zapis navodi ID koji je klijent poslao i kaže da ne odgovara nijednoj vezi. Taj redak u zapisu najbrži je način da razriješiš raspravu jer pokazuje točan niz koji je telefon poslao.

Ponovno postavljanje lozinke neće popraviti očekivani identitet poslužitelja, a promjena Remote ID-a neće popraviti pogrešnu lozinku. Prvo razdvoji fazu, zatim uredi polje koje joj pripada.

Kad je profil pod upravljanjem

Ako su polja siva, konfiguracija je došla iz MDM-a i telefon nije mjesto na kojem se to popravlja. VPN teret nosi identifikatore, pa je ispravna promjena u profilu na poslužitelju za upravljanje, nakon čega ga treba ponovno instalirati na uređaju.

Provjeri u Postavke > Općenito > VPN i upravljanje uređajima je li profil pod upravljanjem i tko ga je potpisao. Ako ga ne možeš ukloniti, ne možeš lokalno uređivati identifikatore, a drugi lokalni profil samo stvara konfliktne konfiguracije.

Prije nego zatvoriš Postavke, zapiši tri niza koja si unio i odakle dolaze. Sljedeći put kad tunel padne, usporedi primljeni ID iz zapisa gatewaya s tom bilješkom: ako se razlikuje, gledaš polje, a ne lozinku.