Remote ID di VPN iPhone: apa arti kolom itu sebenarnya

Anda sedang di Pengaturan, menambahkan konfigurasi IKEv2, dan dua kolom meminta teks yang tidak diberikan siapa pun kepada Anda: Remote ID dan Local ID. Keduanya bukan nama pengguna Anda, dan keduanya bukan salinan kedua kolom Server. Remote ID adalah identitas yang harus dibuktikan gateway kepada iPhone Anda; Local ID adalah identitas yang diklaim iPhone Anda kepada gateway. Salah satu saja keliru, terowongan mati setelah server sudah menjawab, itulah sebabnya kegagalan tampak seperti masalah kata sandi padahal bukan.

Di mana letak kolomnya di iOS

Buka Pengaturan > Umum > VPN & Manajemen Perangkat > VPN dan tambahkan konfigurasi IKEv2. Di bagian Autentikasi Anda memilih Nama Pengguna atau Sertifikat, dan baru setelah itu Remote ID dan Local ID muncul sebagai kotak teks bebas. Keduanya pengenal, bukan alamat: iOS membawanya dalam pertukaran IKE_AUTH, tempat IKEv2 menyebut identitas penginisiasi IDi dan identitas penjawab IDr.

Setelah disimpan, iOS melipat konfigurasi menjadi satu baris dan berhenti menampilkan nilainya. Ketuk tombol info atau buka lagi profilnya sebelum menyimpulkan kolomnya kosong. Konfigurasi yang dikirim MDM bisa membuatnya abu-abu sepenuhnya, dan itu mengubah siapa yang bisa memperbaiki masalahnya.

Remote ID adalah nama gateway

Inilah nilai yang iPhone Anda harapkan dibuktikan server. Dengan autentikasi sertifikat, nilai ini dibandingkan dengan nama di sertifikat server, biasanya subject atau entri subjectAltName. Jika sertifikat diterbitkan untuk vpn.example.com, nama host itulah Remote ID, bahkan ketika Anda mencapai mesin melalui alamat IP telanjang.

Ketidakcocokan itu kegagalan klasik: paket datang, server menjawab, dan koneksi tetap runtuh karena identitas di sertifikat tidak cocok dengan yang diminta profil. Mengarahkan kolom Server ke IP mentah tidak membantu, dan di banyak gateway server berhenti menjawab identitas yang tidak bisa dicocokkannya.

Gateway punya pengaturan yang sepadan. Server strongSwan mengirim identitasnya sendiri dengan leftid dan dapat membatasi identitas klien dengan rightid; jika kedua pihak tidak sepakat soal string, IKE_AUTH gagal di kedua arah. Tanyakan kepada operator untuk identitas mana sertifikat itu diterbitkan, bukan menyalin URL dari bilah peramban.

Apple mendokumentasikan kunci payload sebagai RemoteIdentifier dan LocalIdentifier di referensi pengaturan IKEv2. Keduanya string biasa, jadi huruf besar-kecil dan spasi di akhir bisa berpengaruh.

Local ID adalah yang diklaim iPhone Anda

Dengan autentikasi nama pengguna, EAP memeriksa nama dan kata sandi, dan Local ID adalah identitas IKE terpisah yang juga diwajibkan sebagian gateway. Gateway bisa menuntut Local ID sama dengan nama pengguna, berupa alamat email, atau cocok dengan entri di kebijakan koneksinya; yang lain mengabaikannya. Membiarkannya kosong hanya aman bila operator mengatakannya.

Dengan autentikasi sertifikat, Local ID harus cocok dengan identitas yang diterima gateway untuk sertifikat klien itu, sering common name sertifikat atau nilai yang dipetakan ke catatan perangkat. Menyalin profil rekan kerja ikut menyalin identitasnya. Paling baik gateway mencatat perangkat yang salah; paling buruk kebijakan per perangkat menolak Anda.

Jebakannya adalah menganggap kosong berarti tanpa identitas. Jangan mengisi kolom kosong dengan alamat email Anda hanya karena tampak belum selesai. Pastikan nilai yang dimaksud dan masukkan persis seperti yang diberikan.

Pemeriksaan lima menit sebelum menyimpan

Kerjakan berurutan; langkah pertama yang gagal itulah yang harus diperbaiki.

1. Dapatkan tiga string dari operator: nama di sertifikat server, Local ID yang diharapkan, dan metode autentikasi.
2. Cocokkan metode autentikasinya. Remote ID dan Local ID tidak menggantikan nama pengguna dan kata sandi, dan profil sertifikat tidak akan menerima kata sandi.
3. Ketik nilainya persis, termasuk huruf besar-kecil, tanpa spasi di akhir.
4. Biarkan validasi sertifikat tetap aktif. Memasang sertifikat akar yang tidak berkaitan untuk membungkam peringatan menyembunyikan ketidakcocokan nama, bukan memperbaikinya.
5. Uji dengan data seluler, bukan Wi-Fi kantor, agar portal tertawan atau DNS terbelah tidak menyamar sebagai masalah identitas.

Baca tabel dari atas. Waktu tunggu habis pada baris Server berarti kolom identitas tidak pernah diuji, jadi berhenti di situ. Galat yang muncul hanya setelah server menjawab hampir selalu ketidakcocokan Remote ID atau Local ID.

Galat yang menunjuk kolom yang salah

Pesan seperti "User authentication failed" menyangkut kredensial atau EAP, bukan Remote ID. Peringatan sertifikat menyangkut nama di sertifikat, dan di situlah Remote ID bertemu kolom Server. "The VPN server did not respond" biasanya berarti UDP 500 dan 4500 tidak pernah selesai, atau penjelajahan NAT gagal, dan tidak ada identitas yang dibandingkan.

Di sisi gateway, kegagalan identitas terlihat berbeda: peer ditolak selama IKE_AUTH, atau log menyebut ID yang dikirim klien dan menyatakan tidak cocok dengan koneksi mana pun. Baris log itu cara tercepat menyelesaikan perdebatan, karena menunjukkan string persis yang dikirim telepon.

Mengatur ulang kata sandi tidak akan memperbaiki identitas server yang diharapkan, dan mengubah Remote ID tidak akan memperbaiki kata sandi yang salah. Pisahkan dulu tahapnya, lalu sunting kolom yang termasuk tahap itu.

Ketika profil dikelola

Jika kolomnya abu-abu, konfigurasi berasal dari MDM dan telepon bukan tempat memperbaikinya. Payload VPN membawa pengenalnya, jadi perubahan yang benar ada di profil pada server manajemen, lalu dipasang ulang di perangkat.

Periksa di Pengaturan > Umum > VPN & Manajemen Perangkat apakah profil dikelola dan siapa yang menandatanganinya. Jika Anda tidak bisa menghapusnya, Anda tidak bisa menyunting pengenal secara lokal, dan membuat profil lokal kedua hanya menciptakan konfigurasi yang bertentangan.

Sebelum menutup Pengaturan, catat tiga string yang Anda masukkan dan dari mana asalnya. Saat terowongan gagal lagi, bandingkan ID yang diterima di log gateway dengan catatan itu: jika berbeda, Anda sedang melihat kolom, bukan kata sandi.