Remote ID az iPhone VPN-jében: mit jelent valójában ez a mező
A Remote ID az az identitás, amelyet a szervernek bizonyítania kell az iPhone-od felé; a Local ID az az identitás, amelyet a kliens állít. Íme, melyik karakterlánc melyik mezőbe kerül.
A Beállításokban egy IKEv2-konfigurációt adsz hozzá, és két mező olyan szöveget kér, amelyet senki nem adott meg neked: Remote ID és Local ID. Egyik sem a felhasználóneved, és egyik sem a Server mező második példánya. A Remote ID az az identitás, amelyet az átjárónak bizonyítania kell az iPhone-od felé; a Local ID az az identitás, amelyet az iPhone-od állít az átjáró felé. Ha bármelyiket elrontod, az alagút meghal, miután a szerver már válaszolt, ezért a hiba jelszóproblémának látszik, de nem az.
Hol vannak a mezők az iOS-ben
Nyisd meg a Beállítások > Általános > VPN és eszközkezelés > VPN elemet, és adj hozzá egy IKEv2-konfigurációt. A Hitelesítés alatt Felhasználónevet vagy Tanúsítványt választasz, és csak ezután jelenik meg a Remote ID és a Local ID szabad szöveges mezőként. Ezek azonosítók, nem címek: az iOS az IKE_AUTH-cserében viszi őket, ahol az IKEv2 a kezdeményező identitását IDi-nek, a válaszadóét IDr-nek nevezi.
Mentés után az iOS egyetlen sorba hajtja a konfigurációt, és többé nem mutatja az értékeket. Koppints az info gombra, vagy nyisd meg újra a profilt, mielőtt arra jutnál, hogy a mezők üresek. Az MDM által küldött konfiguráció teljesen kiszürkítheti őket, ami megváltoztatja, ki tudja megoldani a problémát.
A Remote ID az átjáró neve
Ez az az érték, amelyet az iPhone-od elvár, hogy a szerver bizonyítson. Tanúsítványos hitelesítésnél a szerver tanúsítványában szereplő névhez hasonlítják, általában a subjecthez vagy egy subjectAltName-bejegyzéshez. Ha a tanúsítvány a vpn.example.com számára készült, akkor ez a hosztnév a Remote ID, még akkor is, ha csupasz IP-címen éred el a gépet.
Ez az eltérés a klasszikus hiba: a csomagok megérkeznek, a szerver válaszol, és a kapcsolat mégis összeomlik, mert a tanúsítványban lévő identitás nem egyezik azzal, amit a profil megkövetelt. A Server mező nyers IP-re állítása nem segít, és sok átjárón a szerver egyszerűen abbahagyja a válaszadást egy olyan identitásra, amelyet nem tud párosítani.
Az átjárónak van megfelelő beállítása. A strongSwan szerver a saját identitását leftid segítségével küldi, és a kliens identitását rightid segítségével korlátozhatja; ha a két fél nem ért egyet a karakterláncban, az IKE_AUTH mindkét irányban meghiúsul. Kérdezd meg az üzemeltetőt, melyik identitáshoz készült a tanúsítvány, ahelyett hogy a böngészősávból másolnád az URL-t.
Az Apple a hasznos teher kulcsait RemoteIdentifier és LocalIdentifier néven dokumentálja az IKEv2-beállítások referenciájában. Mindkettő egyszerű karakterlánc, ezért a kis- és nagybetű, valamint a záró szóköz számíthat.
A Local ID az, amit az iPhone-od állít
Felhasználónévvel történő hitelesítésnél az EAP ellenőrzi a nevet és a jelszót, a Local ID pedig külön IKE-identitás, amelyet egyes átjárók szintén megkövetelnek. Az átjáró előírhatja, hogy a Local ID egyezzen a felhasználónévvel, e-mail-cím legyen, vagy megfeleljen a kapcsolati szabályzatában szereplő bejegyzésnek; mások figyelmen kívül hagyják. Üresen hagyni csak akkor biztonságos, ha az üzemeltető így mondja.
Tanúsítványos hitelesítésnél a Local ID-nek egyeznie kell egy olyan identitással, amelyet az átjáró elfogad az adott kliens-tanúsítványhoz, gyakran a tanúsítvány közhasználatú nevével vagy egy eszközrekordhoz rendelt értékkel. Egy kolléga profiljának másolása az ő identitását is másolja. Legjobb esetben az átjáró a rossz eszközt naplózza, legrosszabb esetben egy eszközönkénti szabályzat elutasít téged.
A csapda azt feltételezni, hogy az üres azt jelenti: nincs identitás. Ne tölts ki egy üres mezőt az e-mail-címeddel csak azért, mert befejezetlennek tűnik. Erősítsd meg a szándékolt értéket, és pontosan úgy írd be, ahogy megadták.
Ötperces ellenőrzés mentés előtt
Haladj végig rajtuk sorrendben; az első hibás lépést kell kijavítani.
- Kérj három karakterláncot az üzemeltetőtől: a szerver tanúsítványában szereplő nevet, a várt Local ID-t és a hitelesítési módszert.
- Igazítsd össze a hitelesítési módszert. A Remote ID és a Local ID nem helyettesít felhasználónevet és jelszót, a tanúsítványos profil pedig nem fogad el jelszót.
- Írd be az értékeket pontosan, a kis- és nagybetűkkel együtt, záró szóköz nélkül.
- Hagyd bekapcsolva a tanúsítvány-ellenőrzést. Egy nem kapcsolódó gyökértanúsítvány telepítése egy figyelmeztetés elhallgattatására elrejti a néveltérést ahelyett, hogy kijavítaná.
- Mobilos adaton tesztelj, ne az irodai Wi-Fi-n, hogy egy captive portal vagy osztott DNS ne identitásproblémának tűnjön.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Olvasd a táblázatot fentről. Az időtúllépés a Server sorban azt jelenti, hogy az identitásmezőket soha nem tesztelték, ezért állj meg ott. A hiba, amely csak a szerver válasza után jelenik meg, szinte mindig Remote ID vagy Local ID eltérés.
Hibák, amelyek a rossz mezőre mutatnak
Egy üzenet, például "User authentication failed", a hitelesítő adatokról vagy az EAP-ról szól, nem a Remote ID-ről. A tanúsítványfigyelmeztetés a tanúsítványban lévő névről szól, és ott találkozik a Remote ID a Server mezővel. A "The VPN server did not respond" általában azt jelenti, hogy az UDP 500 és 4500 soha nem fejeződött be, vagy a NAT-átjárás meghiúsult, és egyetlen identitást sem hasonlítottak össze.
Az átjáró oldalán az identitáshibák másképp néznek ki: a peer elutasításra kerül az IKE_AUTH során, vagy a napló megnevezi a kliens által küldött ID-t, és azt mondja, hogy egyetlen kapcsolathoz sem illik. Az a naplósor a leggyorsabb módja a vita eldöntésének, mert a telefon által küldött pontos karakterláncot mutatja.
A jelszó visszaállítása nem javítja a várt szerveridentitást, a Remote ID módosítása pedig nem javítja a rossz jelszót. Először válaszd szét a szakaszt, aztán szerkeszd a szakaszhoz tartozó mezőt.
Amikor a profil kezelt
Ha a mezők szürkék, a konfiguráció MDM-ből érkezett, és a telefon nem az a hely, ahol ezt javítani kell. A VPN hasznos teher hordozza az azonosítókat, ezért a helyes módosítás a kezelőszerveren lévő profilban van, majd azt újra kell telepíteni az eszközre.
A Beállítások > Általános > VPN és eszközkezelés alatt ellenőrizd, hogy a profilt kezelik-e, és ki írta alá. Ha nem tudod eltávolítani, helyben nem tudod szerkeszteni az azonosítókat, és egy második helyi profil csak ütköző konfigurációt hoz létre.
Mielőtt bezárod a Beállításokat, jegyezd fel a három beírt karakterláncot és azt, honnan származnak. Amikor legközelebb meghiúsul az alagút, hasonlítsd össze az átjárónaplóban kapott ID-t ezzel a jegyzettel: ha eltér, akkor a mezőt nézed, nem a jelszót.