Remote ID iPhone-ის VPN-ში: რას ნიშნავს ეს ველი სინამდვილეში
Remote ID არის იდენტობა, რომელიც სერვერმა უნდა დაუმტკიცოს თქვენს iPhone-ს; Local ID არის იდენტობა, რომელსაც კლიენტი აცხადებს. აი, რომელი სტრიქონი რომელ ველში უნდა ჩაიწეროს.
თქვენ პარამეტრებში ამატებთ IKEv2 კონფიგურაციას და ორი ველი ითხოვს ტექსტს, რომელიც არავის მოუცია: Remote ID და Local ID. არც ერთი მათგანი არ არის თქვენი მომხმარებლის სახელი და არც ერთი არ არის Server ველის მეორე ასლი. Remote ID არის იდენტობა, რომელიც კარიბჭემ უნდა დაუმტკიცოს თქვენს iPhone-ს; Local ID არის იდენტობა, რომელსაც თქვენი iPhone აცხადებს კარიბჭის მიმართ. ერთი მათგანი მაინც თუ შეგეშალათ, გვირაბი მოკვდება მას შემდეგ, რაც სერვერმა უკვე უპასუხა, ამიტომ ჩავარდნა პაროლის პრობლემას ჰგავს, თუმცა ასე არ არის.
სად არიან ველები iOS-ში
გახსენით პარამეტრები > ზოგადი > VPN და მოწყობილობის მართვა > VPN და დაამატეთ IKEv2 კონფიგურაცია. ავთენტიფიკაციის ქვეშ ირჩევთ მომხმარებლის სახელს ან სერტიფიკატს და მხოლოდ ამის შემდეგ ჩნდება Remote ID და Local ID თავისუფალი ტექსტის ველებად. ესენი იდენტიფიკატორებია და არა მისამართები: iOS მათ IKE_AUTH გაცვლაში გადააქვს, სადაც IKEv2 ინიციატორის იდენტობას IDi-ს უწოდებს, ხოლო პასუხისმგებელისას IDr-ს.
შენახვის შემდეგ iOS კონფიგურაციას ერთ ხაზად კეცავს და მნიშვნელობების ჩვენებას წყვეტს. ველების ცარიელობის დაშვებამდე დააჭირეთ ინფორმაციის ღილაკს ან ხელახლა გახსენით პროფილი. MDM-იდან გამოგზავნილმა კონფიგურაციამ შეიძლება ისინი სრულად ნაცრისფერი გახადოს, რაც ცვლის იმას, ვის შეუძლია პრობლემის გამოსწორება.
Remote ID კარიბჭის სახელია
ეს არის მნიშვნელობა, რომლის დამტკიცებასაც თქვენი iPhone სერვერისგან ელოდება. სერტიფიკატით ავთენტიფიკაციისას ის შედარებულია სერვერის სერტიფიკატში არსებულ სახელს, ჩვეულებრივ subject-ს ან subjectAltName ჩანაწერს. თუ სერტიფიკატი vpn.example.com-ისთვისაა გაცემული, ეს ჰოსტის სახელია Remote ID, მაშინაც კი, როცა მოწყობილობას შიშველი IP მისამართით აღწევთ.
ეს შეუსაბამობა კლასიკური ჩავარდნაა: პაკეტები მოდის, სერვერი პასუხობს და კავშირი მაინც იშლება, რადგან სერტიფიკატში არსებული იდენტობა არ ემთხვევა იმას, რასაც პროფილი მოითხოვდა. Server ველის ნედლ IP-ზე მითითება არ ეხმარება, და ბევრ კარიბჭეზე სერვერი უბრალოდ წყვეტს პასუხს იმ იდენტობაზე, რომელსაც ვერ ასადაგებს.
კარიბჭეს აქვს შესაბამისი პარამეტრი. strongSwan სერვერი საკუთარ იდენტობას leftid-ით აგზავნის და შეუძლია კლიენტის იდენტობა rightid-ით შეზღუდოს; თუ ორი მხარე სტრიქონზე არ თანხმდება, IKE_AUTH ორივე მიმართულებით ვარდება. ჰკითხეთ ოპერატორს, რომელი იდენტობისთვის გაიცა სერტიფიკატი, იმის ნაცვლად რომ URL ბრაუზერის ზოლიდან გადაწეროთ.
Apple დატვირთვის გასაღებებს RemoteIdentifier და LocalIdentifier სახელებით აღწერს IKEv2 პარამეტრების ცნობარში. ორივე ჩვეულებრივი სტრიქონია, ამიტომ ასოების ზომას და ბოლოში არსებულ ინტერვალს მნიშვნელობა შეიძლება ჰქონდეს.
Local ID არის ის, რასაც თქვენი iPhone აცხადებს
მომხმარებლის სახელით ავთენტიფიკაციისას EAP ამოწმებს სახელს და პაროლს, ხოლო Local ID ცალკე IKE იდენტობაა, რომელსაც ზოგი კარიბჭე ასევე ითხოვს. კარიბჭემ შეიძლება მოითხოვოს, რომ Local ID ტოლი იყოს მომხმარებლის სახელის, იყოს ელფოსტის მისამართი ან შეესაბამებოდეს მისი კავშირის პოლიტიკის ჩანაწერს; სხვები უგულებელყოფენ მას. მისი ცარიელი დატოვება უსაფრთხოა მხოლოდ მაშინ, როცა ოპერატორი ასე ამბობს.
სერტიფიკატით ავთენტიფიკაციისას Local ID უნდა ემთხვეოდეს იდენტობას, რომელსაც კარიბჭე ამ კლიენტის სერტიფიკატისთვის იღებს, ხშირად სერტიფიკატის საერთო სახელს ან მოწყობილობის ჩანაწერზე მიბმულ მნიშვნელობას. კოლეგის პროფილის კოპირება მის იდენტობასაც კოპირებს. საუკეთესო შემთხვევაში კარიბჭე არასწორ მოწყობილობას ჩაწერს, უარესში კი მოწყობილობის მიხედვით ცალკე პოლიტიკა გიუარყოფთ.
ხაფანგი ის არის, რომ ცარიელი ნიშნავს იდენტობის არარსებობას. ნუ შეავსებთ ცარიელ ველს თქვენი ელფოსტის მისამართით მხოლოდ იმიტომ, რომ დაუმთავრებლად გამოიყურება. დაადასტურეთ სასურველი მნიშვნელობა და შეიყვანეთ ზუსტად ისე, როგორც მოგაწოდეს.
ხუთწუთიანი შემოწმება შენახვამდე
გაიარეთ ისინი თანმიმდევრობით; პირველი ჩავარდნილი ნაბიჯია გამოსასწორებელი.
- ოპერატორისგან მიიღეთ სამი სტრიქონი: სერვერის სერტიფიკატში არსებული სახელი, მოსალოდნელი Local ID და ავთენტიფიკაციის მეთოდი.
- შეუსაბამეთ ავთენტიფიკაციის მეთოდი. Remote ID და Local ID არ ცვლის მომხმარებლის სახელსა და პაროლს, და სერტიფიკატის პროფილი პაროლს არ მიიღებს.
- შეიყვანეთ მნიშვნელობები ზუსტად, ასოების ზომის ჩათვლით, ბოლოში ინტერვალის გარეშე.
- დატოვეთ სერტიფიკატის შემოწმება ჩართული. ურთიერთდაკავშირებული root სერტიფიკატის დაყენება გაფრთხილების ჩასახშობად სახელის შეუსაბამობას მალავს და არ ასწორებს.
- სცადეთ მობილური მონაცემებით და არა ოფისის Wi-Fi-ით, რათა captive პორტალი ან გაყოფილი DNS იდენტობის პრობლემად არ მოგეჩვენოთ.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
წაიკითხეთ ცხრილი ზემოდან. Server სტრიქონში დროის ამოწურვა ნიშნავს, რომ იდენტობის ველები საერთოდ არ შემოწმებულა, ამიტომ იქ გაჩერდით. შეცდომა, რომელიც მხოლოდ სერვერის პასუხის შემდეგ ჩნდება, თითქმის ყოველთვის Remote ID-ის ან Local ID-ის შეუსაბამობაა.
შეცდომები, რომლებიც არასწორ ველზე მიუთითებს
"User authentication failed"-ის მსგავსი შეტყობინება სერტიფიკატებს ან EAP-ს ეხება და არა Remote ID-ს. სერტიფიკატის გაფრთხილება სერტიფიკატში არსებულ სახელს ეხება და სწორედ იქ ხვდება Remote ID და Server ველი. "The VPN server did not respond" ჩვეულებრივ ნიშნავს, რომ UDP 500 და 4500 არ დასრულდა ან NAT-ის გავლა ჩავარდა, და არც ერთი იდენტობა არ შედარებულა.
კარიბჭის მხარეს იდენტობის ჩავარდნები სხვანაირად გამოიყურება: პირი IKE_AUTH-ის დროს უარყოფილია, ან ჟურნალი ასახელებს კლიენტის გამოგზავნილ ID-ს და ამბობს, რომ ის არც ერთ კავშირს არ ემთხვევა. ეს ჟურნალის ხაზი კამათის გადაწყვეტის ყველაზე სწრაფი გზაა, რადგან აჩვენებს ზუსტ სტრიქონს, რომელიც ტელეფონმა გაგზავნა.
პაროლის აღდგენა არ შეაკეთებს მოსალოდნელ სერვერის იდენტობას, ხოლო Remote ID-ის შეცვლა არ შეაკეთებს არასწორ პაროლს. ჯერ გამოყავით ეტაპი, შემდეგ შეასწორეთ ამ ეტაპს კუთვნილი ველი.
როცა პროფილი მართულია
თუ ველები ნაცრისფერია, კონფიგურაცია MDM-იდან მოვიდა და ტელეფონი მისი გამოსწორების ადგილი არ არის. VPN დატვირთვა ატარებს იდენტიფიკატორებს, ამიტომ სწორი ცვლილება მართვის სერვერზე არსებულ პროფილშია, შემდეგ კი მოწყობილობაზე ხელახლა დაყენება.
პარამეტრები > ზოგადი > VPN და მოწყობილობის მართვა განყოფილებაში შეამოწმეთ, მართულია თუ არა პროფილი და ვინ მოაწერა ხელი. თუ ვერ წაშლით, იდენტიფიკატორებს ლოკალურად ვერ შეასწორებთ, ხოლო მეორე ლოკალური პროფილი მხოლოდ წინააღმდეგობრივ კონფიგურაციას ქმნის.
პარამეტრების დახურვამდე ჩაიწერეთ შეყვანილი სამი სტრიქონი და მათი წყარო. შემდეგ ჯერზე, როცა გვირაბი ჩავარდება, შეადარეთ კარიბჭის ჟურნალში მიღებული ID ამ ჩანაწერს: თუ განსხვავდება, თქვენ ველს უყურებთ და არა პაროლს.