Remote ID í VPN á iPhone: hvað reiturinn þýðir í raun

Þú ert í Stillingum að bæta við IKEv2-stillingu, og tveir reitir biðja um texta sem enginn gaf þér: Remote ID og Local ID. Hvorugur er notandanafnið þitt, og hvorugur er önnur eintök af Server-reitnum. Remote ID er auðkennið sem hliðið verður að sanna gagnvart iPhone þínum; Local ID er auðkennið sem iPhone þinn segir til um gagnvart hliðinu. Ef þú mismunar öðru hvoru deyr göngin eftir að þjónninn hefur þegar svarað, og þess vegna lítur bilunin út eins og lykilorðsvandamál án þess að vera það.

Hvar reitirnir eru í iOS

Opnaðu Stillingar > Almennt > VPN og stjórnun tækja > VPN og bættu við IKEv2-stillingu. Undir Auðkenning velur þú Notandanafn eða Skírteini, og þá fyrst birtast Remote ID og Local ID sem frjálsir textareitir. Þetta eru auðkenni, ekki vistföng: iOS ber þau í IKE_AUTH-skiptingunni, þar sem IKEv2 kallar auðkenni frumkvæðisins IDi og auðkenni svarendans IDr.

Eftir að þú vistar brýtur iOS stillinguna saman í eina línu og hættir að sýna gildin. Ýttu á upplýsingahnappinn eða opnaðu sniðið aftur áður en þú ályktar að reitirnir séu tómir. Stilling sem MDM ýtir inn getur gert þá algjörlega gráa, og það breytir því hver getur lagað vandamálið.

Remote ID er nafn hliðsins

Þetta er gildið sem iPhone þinn væntir að þjónninn sanni. Með skírteinisauðkenningu er það borið saman við nafnið í skírteini þjónsins, venjulega subject eða subjectAltName-færslu. Ef skírteinið er gefið út fyrir vpn.example.com er það hýsilnafn Remote ID, jafnvel þegar þú nærð í vélina með beru IP-vistfangi.

Þetta misræmi er klassíska bilunin: pakkar berast, þjónninn svarar, og samt hrynur tengingin vegna þess að auðkennið í skírteininu passar ekki við það sem sniðið krafðist. Að beina Server-reitnum að hráu IP-inu hjálpar ekki, og á mörgum hliðum hættir þjónninn einfaldlega að svara auðkenni sem hann getur ekki parað.

Hliðið hefur samsvarandi stillingu. strongSwan-þjónn sendir eigið auðkenni með leftid og getur takmarkað auðkenni biðlarans með rightid; ef báðir aðilar eru ósammála um strenginn mistekst IKE_AUTH í báðar áttir. Spurðu rekstraraðilann fyrir hvaða auðkenni skírteinið var gefið út í stað þess að afrita slóðina úr vafrastikunni.

Apple skjalfestir lykla farmsins sem RemoteIdentifier og LocalIdentifier í viðmiðun IKEv2-stillinga. Bæði eru venjulegir strengir, svo stórir og litlir stafir og bil í lokin geta skipt máli.

Local ID er það sem iPhone þinn segir til um

Með notandanafnsauðkenningu athugar EAP nafnið og lykilorðið, og Local ID er sérstakt IKE-auðkenni sem sum hlið framfylgja líka. Hlið getur krafist þess að Local ID sé jafnt notandanafninu, sé netfang eða passi við færslu í tengistefnu sinni; önnur hunsa það. Að láta það vera tómt er aðeins öruggt þegar rekstraraðilinn segir svo.

Með skírteinisauðkenningu ætti Local ID að passa við auðkenni sem hliðið samþykkir fyrir það biðlaraskírteini, oft almennt nafn skírteinisins eða gildi sem varpað er á tækjafærslu. Að afrita snið samstarfsmanns afritar líka auðkenni hans. Í besta falli skráir hliðið rangt tæki; í versta falli hafnar stefna fyrir hvert tæki þér.

Gildran er að gera ráð fyrir að tómt þýði ekkert auðkenni. Ekki fylla tóman reit með netfanginu þínu bara af því að hann virðist ókláraður. Staðfestu ætlað gildi og sláðu það inn nákvæmlega eins og það var gefið.

Fimm mínútna athugun fyrir vistun

Farðu í gegnum þau í röð; fyrsta skrefið sem mistekst er það sem laga þarf.

1. Fáðu þrjá strengi frá rekstraraðilanum: nafnið í skírteini þjónsins, vænt Local ID og auðkenningaraðferðina.
2. Lagaðu auðkenningaraðferðina. Remote ID og Local ID koma ekki í stað notandanafns og lykilorðs, og skírteinissnið tekur ekki við lykilorði.
3. Sláðu gildin inn nákvæmlega, þar á meðal stóra og litla stafi, án bils í lokin.
4. Hafðu skírteinisvottun áfram virka. Að setja upp ótengt rótarskírteini til að þagga niður viðvörun felur nafnamisræmi í stað þess að laga það.
5. Prófaðu á farsímagögnum, ekki á Wi-Fi skrifstofunnar, svo föngunarhlið eða skipt DNS þykist ekki vera auðkennisvandamál.

Lestu töfluna að ofan. Tímamörk í Server-línu þýða að auðkennisreitirnir voru aldrei prófaðir, svo staldraðu þar við. Villa sem birtist aðeins eftir að þjónninn hefur svarað er næstum alltaf misræmi í Remote ID eða Local ID.

Villur sem benda á rangan reit

Skilaboð eins og "User authentication failed" snúast um skilríki eða EAP, ekki Remote ID. Skírteinisviðvörun snýst um nafnið í skírteininu, og þar mætast Remote ID og Server-reiturinn. "The VPN server did not respond" þýðir venjulega að UDP 500 og 4500 hafi aldrei klárast, eða að NAT-far hafi mistekist, og ekkert auðkenni var borið saman.

Á hliðinu lita auðkennisbilarnir öðruvísi út: jafningjanum er hafnað í IKE_AUTH, eða loggið nefnir ID-ið sem biðlarinn sendi og segir að það passi við enga tengingu. Sú logglína er fljótlegasta leiðin til að útkljá deiluna, því hún sýnir nákvæma strenginn sem síminn sendi.

Að endurstilla lykilorð lagar ekki vænt þjónsauðkenni, og að breyta Remote ID lagar ekki rangt lykilorð. Aðskildu fyrst stigið og breyttu síðan reitnum sem tilheyrir því stigi.

Þegar sniðinu er stjórnað

Ef reitirnir eru gráir kom stillingin frá MDM og síminn er ekki staðurinn til að laga það. VPN-farmurinn ber auðkennin, svo rétta breytingin er í sniðinu á stjórnunarþjóninum, og síðan þarf að setja það upp aftur í tækinu.

Athugaðu í Stillingar > Almennt > VPN og stjórnun tækja hvort sniðinu sé stjórnað og hver skrifaði það undir. Ef þú getur ekki fjarlægt það getur þú ekki breytt auðkennunum staðbundið, og annað staðbundið snið skapar bara misvísandi stillingu.

Áður en þú lokar Stillingum skaltu skrifa niður strengina þrjá sem þú slóst inn og hvaðan þeir komu. Næst þegar göngin mistakast skaltu bera ID-ið sem hliðsloggið fékk saman við þá athugasemd: ef það er frábrugðið ertu að skoða reitinn, ekki lykilorðið.