iPhone'догу VPNдеги Remote ID: бул талаа чындыгында эмнени билдирет
Remote ID — сервер iPhone'уңузга далилдеши керек болгон инсандык, ал эми Local ID — кардар билдирген инсандык. Кайсы сап кайсы талаага кирери ушул жерде.
Сиз Жөндөөлөрдө IKEv2 конфигурациясын кошуп жатасыз, ал эми эки талаа сизге эч ким бербеген текстти талап кылат: Remote ID жана Local ID. Экөө тең сиздин колдонуучу атыңыз эмес, экөө тең Server талаасынын экинчи көчүрмөсү эмес. Remote ID — дарбаза iPhone'уңузга далилдеши керек болгон инсандык, ал эми Local ID — iPhone'уңуз дарбазага билдирген инсандык. Экөөнүн бирин ката кылсаңыз, сервер буга чейин жооп бергенден кийин туннель өлөт, ошондуктан бузулуу сырсөз көйгөйүнө окшош көрүнөт, бирок андай эмес.
Талаалар iOS'то кайда
Жөндөөлөр > Жалпы > VPN жана түзмөктү башкаруу > VPN ачып, IKEv2 конфигурациясын кошуңуз. Аутентификация астында Колдонуучу атын же Күбөлүктү тандайсыз, ошондон кийин гана Remote ID жана Local ID эркин текст талаалары катары пайда болот. Булар идентификаторлор, даректер эмес: iOS аларды IKE_AUTH алмашуусунда алып жүрөт, анда IKEv2 баштоочунун инсандыгын IDi, ал эми жооп берүүчүнүкүн IDr деп атайт.
Сактагандан кийин iOS конфигурацияны бир сапка бүктөп, маанилерди көрсөтүүнү токтотот. Талаалар бош деп жыйынтык чыгарганга чейин маалымат баскычын басыңыз же профилди кайра ачыңыз. MDM аркылуу жөнөтүлгөн конфигурация аларды толук боз түскө айландырышы мүмкүн, бул көйгөйдү ким оңдой аларын өзгөртөт.
Remote ID — дарбазанын аты
Бул — сервер далилдеши керек деп iPhone'уңуз күткөн маани. Күбөлүк менен аутентификацияда ал сервер күбөлүгүндөгү ат менен салыштырылат, адатта subject же subjectAltName жазуусу менен. Күбөлүк vpn.example.com үчүн берилген болсо, ошол хост аты Remote ID болуп саналат, ал тургай түзмөккө жалаң IP дареги менен жетсеңиз да.
Бул шайкешсиздик — классикалык бузулуу: пакеттер келет, сервер жооп берет, бирок байланыш баары бир кулайт, анткени күбөлүктөгү инсандык профиль талап кылганга дал келбейт. Server талаасын чийки IP'ге багыттоо жардам бербейт, ал эми көп дарбазаларда сервер далдаштыра албаган инсандыкка жооп берүүнү жөн гана токтотот.
Дарбазада шайкеш жөндөө бар. strongSwan сервери өз инсандыгын leftid аркылуу жөнөтөт жана кардардын инсандыгын rightid аркылуу чектей алат; эки тарап сап боюнча келишпесе, IKE_AUTH эки багытта тең ишке ашпайт. Браузер тилкесинен URL'ди көчүрүүнүн ордуна оператордон күбөлүк кайсы инсандыкка берилгенин сураңыз.
Apple жүктөм ачкычтарын RemoteIdentifier жана LocalIdentifier деп IKEv2 жөндөөлөрүнүн маалымдамасында документтештирет. Экөө тең жөнөкөй саптар, ошондуктан тамга өлчөмү жана аягындагы боштук маанилүү болушу мүмкүн.
Local ID — iPhone'уңуз билдирген нерсе
Колдонуучу аты менен аутентификацияда EAP ат менен сырсөздү текшерет, ал эми Local ID — кээ бир дарбазалар да талап кылган өзүнчө IKE инсандыгы. Дарбаза Local ID колдонуучу атына барабар болушун, электрондук почта дареги болушун же анын байланыш саясатындагы жазууга дал келишин талап кылышы мүмкүн; башкалары аны этибарга албайт. Аны бош калтыруу оператор ошентсе гана коопсуз.
Күбөлүк менен аутентификацияда Local ID дарбаза ошол кардар күбөлүгү үчүн кабыл алган инсандыкка дал келиши керек, көбүнчө күбөлүктүн жалпы атына же түзмөк жазуусуна байланган мааниге. Кесиптешиңиздин профилин көчүрүү анын инсандыгын да көчүрөт. Эң жакшысында дарбаза туура эмес түзмөктү жазат, эң начарында ар бир түзмөк үчүн саясат сизден баш тартат.
Тузок — бош дегенибиз инсандык жок деп ойлоо. Бүтпөгөн көрүнгөнү үчүн бош талааны электрондук почта дарегиңиз менен толтурбаңыз. Көздөлгөн маанини тастыктап, берилгендей так киргизиңиз.
Сактоодон мурун беш мүнөттүк текшерүү
Аларды тартиби менен аткарыңыз; биринчи ишке ашпаган кадам — оңдолушу керек болгон кадам.
- Оператордон үч сап алыңыз: сервер күбөлүгүндөгү ат, күтүлгөн Local ID жана аутентификация ыкмасы.
- Аутентификация ыкмасын далдаштырыңыз. Remote ID жана Local ID колдонуучу аты менен сырсөздү алмаштырбайт, ал эми күбөлүк профили сырсөздү кабыл албайт.
- Маанилерди так киргизиңиз, тамга өлчөмүн кошуп, аягында боштуксуз.
- Күбөлүктү текшерүүнү күйүк калтырыңыз. Эскертүүнү басуу үчүн байланышы жок тамыр күбөлүгүн орнотуу ат шайкешсиздигин оңдоонун ордуна жашырат.
- Кеңсе Wi-Fi'инде эмес, уюлдук маалыматта сынаңыз, туткун портал же бөлүнгөн DNS инсандык көйгөйү болуп көрүнбөсүн.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Таблицаны жогорудан окуңуз. Server сабындагы таймаут инсандык талаалары такыр текшерилбегенин билдирет, ошондуктан ошол жерде токтоңуз. Сервер жооп бергенден кийин гана пайда болгон ката дээрлик дайыма Remote ID же Local ID шайкешсиздиги.
Туура эмес талаага көрсөткөн каталар
"User authentication failed" сыяктуу билдирүү эсептик маалыматтар же EAP жөнүндө, Remote ID жөнүндө эмес. Күбөлүк эскертүүсү күбөлүктөгү ат жөнүндө, жана дал ошол жерде Remote ID менен Server талаасы кезигишет. "The VPN server did not respond" адатта UDP 500 жана 4500 бүтпөгөнүн же NAT өтүүсү ишке ашпаганын, эч кандай инсандык салыштырылбаганын билдирет.
Дарбаза тарапта инсандык бузулуулары башкача көрүнөт: теңтуш IKE_AUTH учурунда четке кагылат, же журнал кардар жөнөткөн ID'ни атап, ал эч кандай байланышка дал келбей турганын айтат. Ошол журнал сабы — талашты чечүүнүн эң тез жолу, анткени телефон жөнөткөн так сапты көрсөтөт.
Сырсөздү кайра коюу күтүлгөн сервер инсандыгын оңдобойт, ал эми Remote ID'ни өзгөртүү туура эмес сырсөздү оңдобойт. Адегенде баскычты бөлүп алыңыз, анан ошол баскычка тиешелүү талааны оңдоңуз.
Профиль башкарылган учурда
Эгер талаалар боз болсо, конфигурация MDM'ден келген жана телефон аны оңдоочу жер эмес. VPN жүктөмү идентификаторлорду алып жүрөт, ошондуктан туура өзгөртүү башкаруу сервериндеги профилде, анан аны түзмөккө кайра орнотуу керек.
Жөндөөлөр > Жалпы > VPN жана түзмөктү башкаруу бөлүмүндө профилдин башкарылышын жана ага ким кол койгонун текшериңиз. Эгер аны алып сала албасаңыз, идентификаторлорду жергиликтүү оңдой албайсыз, ал эми экинчи жергиликтүү профиль карама-каршы конфигурацияны гана жаратат.
Жөндөөлөрдү жаппас мурун киргизген үч сапты жана алардын кайдан келгенин жазып алыңыз. Кийинки жолу туннель ишке ашпаганда, дарбаза журналындагы алынган ID'ни ошол жазуу менен салыштырыңыз: эгер башка болсо, сиз сырсөзгө эмес, талаага карап жатасыз.