iPhone-тағы VPN-дегі Remote ID: бұл өрістің нақты мағынасы
Remote ID — сервер iPhone-ыңызға дәлелдеуі тиіс сәйкестік, ал Local ID — клиент мәлімдейтін сәйкестік. Қай жолдың қай өріске жататыны осында.
Сіз Параметрлерде IKEv2 конфигурациясын қосып жатырсыз, ал екі өріс сізге ешкім бермеген мәтінді талап етеді: Remote ID және Local ID. Екеуі де сіздің пайдаланушы атыңыз емес, екеуі де Server өрісінің екінші көшірмесі емес. Remote ID — қақпаның iPhone-ыңызға дәлелдеуі тиіс сәйкестігі, ал Local ID — iPhone-ыңыздың қақпаға мәлімдейтін сәйкестігі. Екеуінің бірін қате жасасаңыз, сервер жауап бергеннен кейін туннель өледі, сондықтан сәтсіздік құпиясөз мәселесіне ұқсайды, бірақ ол емес.
Өрістер iOS-те қайда тұр
Параметрлер > Жалпы > VPN және құрылғыны басқару > VPN бөлімін ашып, IKEv2 конфигурациясын қосыңыз. Аутентификация астында Пайдаланушы атын немесе Сертификатты таңдайсыз, содан кейін ғана Remote ID және Local ID еркін мәтін өрістері ретінде көрінеді. Бұлар идентификаторлар, мекенжайлар емес: iOS оларды IKE_AUTH алмасуында тасымалдайды, онда IKEv2 бастаушының сәйкестігін IDi, ал жауап берушінікін IDr деп атайды.
Сақтағаннан кейін iOS конфигурацияны бір жолға бүктейді және мәндерді көрсетуді тоқтатады. Өрістер бос деп қорытынды жасамас бұрын ақпарат түймесін басыңыз немесе профильді қайта ашыңыз. MDM арқылы жіберілген конфигурация оларды толығымен сұрға айналдыруы мүмкін, бұл мәселені кім түзете алатынын өзгертеді.
Remote ID — қақпаның атауы
Бұл — сервер дәлелдеуі тиіс деп iPhone-ыңыз күтетін мән. Сертификатпен аутентификацияда ол сервер сертификатындағы атаумен салыстырылады, әдетте subject немесе subjectAltName жазбасымен. Сертификат vpn.example.com үшін берілсе, сол хост атауы Remote ID болып табылады, тіпті құрылғыға жалаң IP мекенжайымен жетсеңіз де.
Бұл сәйкессіздік — классикалық сәтсіздік: пакеттер келеді, сервер жауап береді, бірақ байланыс бәрібір құлайды, себебі сертификаттағы сәйкестік профиль талап еткенге сай келмейді. Server өрісін шикі IP-ге бағыттау көмектеспейді, ал көптеген қақпаларда сервер сәйкестендіре алмайтын сәйкестікке жауап беруді жай ғана тоқтатады.
Қақпада сәйкес параметр бар. strongSwan сервері өз сәйкестігін leftid арқылы жібереді және клиент сәйкестігін rightid арқылы шектей алады; екі жақ жол бойынша келіспесе, IKE_AUTH екі бағытта да сәтсіз аяқталады. Браузер жолағынан URL көшірудің орнына оператордан сертификат қай сәйкестікке берілгенін сұраңыз.
Apple жүктеме кілттерін RemoteIdentifier және LocalIdentifier ретінде IKEv2 параметрлері анықтамасында құжаттайды. Екеуі де қарапайым жолдар, сондықтан әріп өлшемі мен соңындағы бос орын маңызды болуы мүмкін.
Local ID — iPhone-ыңыз мәлімдейтін нәрсе
Пайдаланушы атымен аутентификацияда EAP атау мен құпиясөзді тексереді, ал Local ID — кейбір қақпалар да талап ететін жеке IKE сәйкестігі. Қақпа Local ID пайдаланушы атына тең болуын, электрондық пошта мекенжайы болуын немесе оның байланыс саясатындағы жазбаға сай болуын талап етуі мүмкін; басқалары оны елемейді. Оны бос қалдыру оператор солай десе ғана қауіпсіз.
Сертификатпен аутентификацияда Local ID қақпа сол клиент сертификаты үшін қабылдайтын сәйкестікке сай болуы керек, көбіне сертификаттың ортақ атауына немесе құрылғы жазбасына байланған мәнге. Әріптестің профилін көшіру оның сәйкестігін де көшіреді. Ең жақсысында қақпа қате құрылғыны жазады, ең нашардында әр құрылғыға арналған саясат сізден бас тартады.
Тұзақ — бос дегеніміз сәйкестік жоқ деп ойлау. Аяқталмаған көрінгені үшін бос өрісті электрондық пошта мекенжайыңызбен толтырмаңыз. Көзделген мәнді растап, оны берілгендей дәл енгізіңіз.
Сақтау алдындағы бес минуттық тексеру
Оларды ретімен орындаңыз; бірінші сәтсіз болған қадам — түзетілетін қадам.
- Оператордан үш жол алыңыз: сервер сертификатындағы атау, күтілетін Local ID және аутентификация әдісі.
- Аутентификация әдісін сәйкестендіріңіз. Remote ID және Local ID пайдаланушы аты мен құпиясөзді алмастырмайды, ал сертификат профилі құпиясөзді қабылдамайды.
- Мәндерді дәл енгізіңіз, әріп өлшемін қоса, соңында бос орынсыз.
- Сертификатты тексеруді қосулы қалдырыңыз. Ескертуді басу үшін қатысы жоқ түбірлік сертификат орнату атау сәйкессіздігін түзетудің орнына жасырады.
- Кеңсе Wi-Fi-ында емес, ұялы деректерде сынаңыз, тұтқын портал немесе бөлінген DNS сәйкестік мәселесі болып көрінбесін.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Кестені жоғарыдан оқыңыз. Server жолындағы таймаут сәйкестік өрістері ешқашан тексерілмегенін білдіреді, сондықтан сонда тоқтаңыз. Тек сервер жауап бергеннен кейін пайда болатын қате — әрдайым дерлік Remote ID немесе Local ID сәйкессіздігі.
Қате өріске нұсқайтын қателер
"User authentication failed" сияқты хабарлама тіркелгі деректері немесе EAP туралы, Remote ID туралы емес. Сертификат ескертуі сертификаттағы атау туралы, және дәл сол жерде Remote ID мен Server өрісі тоғысады. "The VPN server did not respond" әдетте UDP 500 мен 4500 аяқталмағанын немесе NAT өтуі сәтсіз болғанын, ешбір сәйкестік салыстырылмағанын білдіреді.
Қақпа жағында сәйкестік сәтсіздіктері басқаша көрінеді: теңдес IKE_AUTH кезінде қабылданбайды, немесе журнал клиент жіберген ID-ді атап, ол ешбір байланысқа сай еместігін айтады. Сол журнал жолы — дауды шешудің ең жылдам жолы, өйткені телефон жіберген нақты жолды көрсетеді.
Құпиясөзді қалпына келтіру күтілетін сервер сәйкестігін түзетпейді, ал Remote ID-ді өзгерту қате құпиясөзді түзетпейді. Алдымен кезеңді бөліп алыңыз, содан кейін сол кезеңге жататын өрісті өңдеңіз.
Профиль басқарылатын кезде
Егер өрістер сұр болса, конфигурация MDM-нен келген және телефон оны түзететін орын емес. VPN жүктемесі идентификаторларды тасымалдайды, сондықтан дұрыс өзгеріс басқару серверіндегі профильде, содан кейін оны құрылғыға қайта орнату керек.
Параметрлер > Жалпы > VPN және құрылғыны басқару бөлімінде профильдің басқарылатынын және оған кім қол қойғанын тексеріңіз. Егер оны жоя алмасаңыз, идентификаторларды жергілікті түрде өңдей алмайсыз, ал екінші жергілікті профиль тек қайшы конфигурация жасайды.
Параметрлерді жаппас бұрын енгізген үш жолды және олардың қайдан келгенін жазып алыңыз. Келесі жолы туннель сәтсіз болғанда, қақпа журналындағы алынған ID-ді сол жазбамен салыстырыңыз: егер өзгеше болса, сіз құпиясөзге емес, өріске қарап отырсыз.