Remote ID nella VPN su iPhone: cosa significa davvero quel campo
Remote ID è l’identità che il server deve dimostrare al tuo iPhone; Local ID è l’identità che il client dichiara. Ecco quale stringa va in quale campo.
Sei in Impostazioni e stai aggiungendo una configurazione IKEv2, e due campi chiedono un testo che nessuno ti ha dato: Remote ID e Local ID. Nessuno dei due è il tuo nome utente, e nessuno è una seconda copia del campo Server. Remote ID è l’identità che il gateway deve dimostrare al tuo iPhone; Local ID è l’identità che il tuo iPhone dichiara al gateway. Sbaglia l’uno o l’altro e il tunnel muore dopo che il server ha già risposto, ed è per questo che il guasto sembra un problema di password senza esserlo.
Dove si trovano i campi in iOS
Apri Impostazioni > Generali > VPN e gestione dispositivi > VPN e aggiungi una configurazione IKEv2. Sotto Autenticazione scegli Nome utente o Certificato, e solo allora Remote ID e Local ID compaiono come caselle di testo libero. Sono identificatori, non indirizzi: iOS li porta nello scambio IKE_AUTH, dove IKEv2 chiama IDi l’identità dell’iniziatore e IDr quella del risponditore.
Dopo il salvataggio, iOS ripiega la configurazione in un’unica riga e smette di mostrare i valori. Tocca il pulsante informazioni o riapri il profilo prima di concludere che i campi sono vuoti. Una configurazione inviata da MDM può renderli completamente grigi, e questo cambia chi può risolvere il problema.
Remote ID è il nome del gateway
È il valore che il tuo iPhone si aspetta che il server dimostri. Con l’autenticazione tramite certificato viene confrontato con il nome nel certificato del server, di solito il subject o una voce subjectAltName. Se il certificato è emesso per vpn.example.com, quel nome host è il Remote ID, anche quando raggiungi la macchina con un indirizzo IP nudo.
Questa discordanza è il guasto classico: i pacchetti arrivano, il server risponde e la connessione crolla lo stesso perché l’identità nel certificato non corrisponde a quella richiesta dal profilo. Puntare il campo Server all’IP grezzo non aiuta, e su molti gateway il server smette semplicemente di rispondere a un’identità che non riesce ad abbinare.
Il gateway ha un’impostazione corrispondente. Un server strongSwan invia la propria identità con leftid e può limitare l’identità del client con rightid; se i due lati non concordano sulla stringa, IKE_AUTH fallisce in entrambe le direzioni. Chiedi al gestore per quale identità è stato emesso il certificato invece di copiare l’URL dalla barra del browser.
Apple documenta le chiavi del payload come RemoteIdentifier e LocalIdentifier nella sua riferimento delle impostazioni IKEv2. Entrambe sono stringhe semplici, quindi maiuscole e uno spazio finale possono contare.
Local ID è ciò che dichiara il tuo iPhone
Con l’autenticazione tramite nome utente, EAP controlla nome e password, e Local ID è un’identità IKE separata che alcuni gateway impongono anch’essi. Un gateway può richiedere che Local ID sia uguale al nome utente, sia un indirizzo email o corrisponda a una voce della sua politica di connessione; altri lo ignorano. Lasciarlo vuoto è sicuro solo quando lo dice il gestore.
Con l’autenticazione tramite certificato, Local ID deve corrispondere a un’identità che il gateway accetta per quel certificato client, spesso il nome comune del certificato o un valore associato a un record del dispositivo. Copiare il profilo di un collega copia anche la sua identità. Nel migliore dei casi il gateway registra il dispositivo sbagliato; nel peggiore una politica per dispositivo ti rifiuta.
La trappola è supporre che vuoto significhi nessuna identità. Non riempire un campo vuoto con il tuo indirizzo email solo perché sembra incompleto. Conferma il valore previsto e inseriscilo esattamente come è stato dato.
Un controllo di cinque minuti prima di salvare
Segui l’ordine; il primo passo che fallisce è quello da correggere.
- Ottieni tre stringhe dal gestore: il nome nel certificato del server, il Local ID atteso e il metodo di autenticazione.
- Allinea il metodo di autenticazione. Remote ID e Local ID non sostituiscono nome utente e password, e un profilo con certificato non accetterà una password.
- Digita i valori esattamente, maiuscole comprese, senza spazio finale.
- Lascia attiva la convalida dei certificati. Installare un certificato radice estraneo per zittire un avviso nasconde una discordanza di nome invece di correggerla.
- Prova con i dati mobili, non con il Wi-Fi dell’ufficio, così un portale captive o un DNS diviso non si spacciano per un problema di identità.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Leggi la tabella dall’alto. Un timeout nella riga Server significa che i campi identità non sono mai stati provati, quindi fermati lì. Un errore che appare solo dopo la risposta del server è quasi sempre una discordanza di Remote ID o Local ID.
Errori che indicano il campo sbagliato
Un messaggio come "User authentication failed" riguarda credenziali o EAP, non Remote ID. Un avviso sul certificato riguarda il nome nel certificato, ed è lì che Remote ID e campo Server si incontrano. "The VPN server did not respond" di solito significa che UDP 500 e 4500 non si sono mai completati, o che il traversal NAT è fallito, e che nessuna identità è stata confrontata.
Lato gateway i guasti di identità appaiono diversi: il peer viene rifiutato durante IKE_AUTH, oppure il log nomina l’ID inviato dal client e dice che non corrisponde a nessuna connessione. Quella riga di log è il modo più rapido per chiudere la discussione, perché mostra la stringa esatta inviata dal telefono.
Reimpostare una password non riparerà un’identità server attesa, e cambiare Remote ID non riparerà una password sbagliata. Separa prima la fase, poi modifica il campo che appartiene a quella fase.
Quando il profilo è gestito
Se i campi sono grigi, la configurazione arriva da MDM e il telefono non è il posto dove correggerla. Il payload VPN porta gli identificatori, quindi la modifica giusta è nel profilo sul server di gestione, seguita dalla reinstallazione sul dispositivo.
Controlla in Impostazioni > Generali > VPN e gestione dispositivi se il profilo è gestito e chi lo ha firmato. Se non puoi rimuoverlo, non puoi modificare gli identificatori in locale, e creare un secondo profilo locale produce solo una configurazione in conflitto.
Prima di chiudere Impostazioni, annota le tre stringhe che hai inserito e da dove provengono. La prossima volta che il tunnel fallisce, confronta l’ID ricevuto nel log del gateway con quella nota: se è diverso, stai guardando il campo, non la password.