Remote ID am VPN op iPhone: wat dëst Feld wierklech bedeit
Remote ID ass d’Identitéit, déi de Server dengem iPhone beweisen muss; Local ID ass d’Identitéit, déi de Client behaapt. Hei steet, wéi eng Zeecheketten a wéi ee Feld gehéiert.
Du bass an den Astellungen a fügst eng IKEv2-Konfiguratioun derbäi, an zwee Felder froen Text, deen dir keen ginn huet: Remote ID an Local ID. Keng vun deenen zwee ass däin Benotzernumm, a keng ass eng zweet Kopie vum Server-Feld. Remote ID ass d’Identitéit, déi de Gateway dengem iPhone beweisen muss; Local ID ass d’Identitéit, déi däin iPhone dem Gateway behaapt. Ee vun deenen zwee falsch, an den Tunnel stierft, nodeem de Server schonn geäntwert huet, an dofir gesäit de Feeler wéi e Passwuertproblem aus, ouni et ze sinn.
Wou d’Felder an iOS stinn
Maach Astellungen > Allgemeng > VPN a Geräteverwaltung > VPN op a füg eng IKEv2-Konfiguratioun derbäi. Ënner Authentifikatioun wiels du Benotzernumm oder Zertifikaat, an eréischt dann erschéngen Remote ID an Local ID als fräi Textfelder. Et sinn Identifikatoren, keng Adressen: iOS dréit se am IKE_AUTH-Austausch, wou IKEv2 d’Identitéit vum Initiator IDi nennt an déi vum Äntwerer IDr.
Nodeem s du gespäichert hues, fält iOS d’Konfiguratioun an eng eenzeg Zeil a weist d’Wäerter net méi. Tipp op de Info-Knäppchen oder maach de Profil nach eng Kéier op, ier s de schléiss, d’Felder si läer. Eng Konfiguratioun, déi vum MDM geschéckt gëtt, kann se komplett gro maachen, an dat ännert, wien de Problem ka behiewen.
Remote ID ass den Numm vum Gateway
Dëst ass de Wäert, vun deem däin iPhone erwaart, datt de Server en beweist. Bei Zertifikaatsauthentifikatioun gëtt en mat dem Numm am Zertifikaat vum Server verglach, meeschtens de subject oder en subjectAltName-Andro. Wann d’Zertifikaat fir vpn.example.com ausgestallt ass, ass deen Hostnumm d’Remote ID, och wann s de d’Maschinn iwwer eng nackeg IP-Adress erreechst.
Dës Onstëmmegkeet ass de klassesche Feeler: Pakete komme ukommen, de Server äntwert, an d’Verbindung fält trotzdeem zesummen, well d’Identitéit am Zertifikaat net mat deem iwwerenee stëmmt, wat de Profil gefrot huet. D’Server-Feld op déi ro IP ze weisen hëlleft net, a bei ville Gateways hält de Server einfach op, op eng Identitéit ze äntweren, déi hien net kann zouuerdnen.
De Gateway huet eng passend Astellung. E strongSwan-Server schéckt seng eege Identitéit mat leftid a kann d’Identitéit vum Client mat rightid aschränken; wann déi zwou Säiten sech iwwer d’Zeecheketten net eens sinn, schléift IKE_AUTH a béid Richtungen. Fro den Bedreiwer, fir wéi eng Identitéit d’Zertifikaat ausgestallt gouf, amplaz d’URL aus der Browserläischt ofzeschreiwen.
Apple dokumentéiert d’Schlësselen vun der Last als RemoteIdentifier an LocalIdentifier an senger Referenz vun den IKEv2-Astellungen. Béid si gewéinlech Zeecheketten, dofir kënnen d’Grouss- a Klengschreiwung an e Leerzeechen um Enn zielen.
Local ID ass dat, wat däin iPhone behaapt
Bei der Authentifikatioun mam Benotzernumm préift EAP den Numm an d’Passwuert, an Local ID ass eng eege IKE-Identitéit, déi verschidde Gateways och verlaangen. E Gateway kann verlaangen, datt Local ID dem Benotzernumm gläich ass, eng E-Mail-Adress ass oder engem Andro an senger Verbindungspolitik entsprécht; anerer ignoréieren se. Se läer ze loossen ass nëmme sécher, wann den Bedreiwer et seet.
Bei der Zertifikaatsauthentifikatioun soll Local ID mat enger Identitéit iwwerenee stëmmen, déi de Gateway fir dee Clientzertifikaat akzeptéiert, dacks den allgemengen Numm vum Zertifikaat oder e Wäert, deen engem Geräte-Andro zougeuerdnet ass. De Profil vun engem Kolleg ze kopéieren kopéiert och seng Identitéit. Am beschte Fall loggt de Gateway dat falscht Gerät, am schlëmmste Fall refuséiert eng Politik pro Gerät dech.
D’Falle besteet doran, unzehuelen, datt läer keng Identitéit heescht. Fëll e läert Feld net mat denger E-Mail-Adress, just well et onfäerdeg ausgesäit. Confirméier de gewënschte Wäert a gëff en genau esou an, wéi en dech ginn ass.
Eng Kontroll vu fënnef Minutten, ier s de späichert
Gëff se an der Rei duerch; den éischte Schrëtt, deen feelt, ass deen, deen ze behiewen ass.
- Kréi dräi Zeecheketten vum Bedreiwer: den Numm am Zertifikaat vum Server, déi erwaart Local ID an d’Method vun der Authentifikatioun.
- Stëmm d’Method vun der Authentifikatioun of. Remote ID an Local ID ersetzen net e Benotzernumm a e Passwuert, an e Zertifikaatsprofil akzeptéiert kee Passwuert.
- Tipp d’Wäerter genau an, mat Grouss- a Klengschreiwung, ouni Leerzeechen um Enn.
- Looss d’Validatioun vun de Zertifikaaten un. En onbewäert Rootzertifikaat z’installéieren, fir eng Warnung ze berouegen, verstoppt eng Onstëmmegkeet vum Numm, amplaz se ze behiewen.
- Test mat mobilen Donnéeën, net mam Wi-Fi vum Büro, sou datt e Captive Portal oder en opgedeelte DNS sech net als Identitéitsproblem duerchsetzen.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Lies d’Tabell vun uewen. En Timeout an der Zeil Server heescht, datt d’Identitéitsfelder ni getest goufen, also stopp do. E Feeler, deen eréischt no der Äntwert vum Server opdaucht, ass bal ëmmer eng Onstëmmegkeet bei Remote ID oder Local ID.
Feeler, déi op dat falscht Feld weisen
E Message wéi "User authentication failed" geet ëm Umeldungsdaten oder EAP, net ëm Remote ID. Eng Zertifikaatswarnung geet ëm den Numm am Zertifikaat, an do begéine sech Remote ID an d’Server-Feld. "The VPN server did not respond" heescht meeschtens, datt UDP 500 an 4500 ni fäerdeg goufen oder datt den NAT-Traversal gescheitert ass, an datt keng Identitéit verglach gouf.
Op der Säit vum Gateway gesi Feeler vun der Identitéit anescht aus: de Peer gëtt bei IKE_AUTH refuséiert, oder de Log nennt d’ID, déi de Client geschéckt huet, a seet, datt se zu kenger Verbindung passt. Dee Logzeil ass de séierste Wee, de Sträit ze klären, well en déi genau Zeecheketten weist, déi den Telefon geschéckt huet.
E Passwuert zrécksetzen reparéiert keng erwaart Serveridentitéit, an d’Remote ID z’änneren reparéiert kee falscht Passwuert. Trenn fir d’éischt d’Etapp, a béi dann dat Feld, wat zu där Etapp gehéiert.
Wann de Profil geréiert gëtt
Wann d’Felder gro sinn, kënnt d’Konfiguratioun vum MDM an den Telefon ass net dee Plaz, wou een dat behieft. D’VPN-Last dréit d’Identifikatoren, dofir ass déi richteg Ännerung am Profil um Verwaltungsserver, an duerno d’Neiinstallatioun um Gerät.
Kuck an den Astellungen > Allgemeng > VPN a Geräteverwaltung no, ob de Profil geréiert gëtt a wien en ënnerschriwwen huet. Wann s de en net kawech huelen, kanns de d’Identifikatoren net lokal änneren, an en zweete lokale Profil schaaft just eng Konfiguratioun mat Konflikt.
Ier s de d’Astellunge zoumaachss, schreif déi dräi Zeecheketten op, déi s de aginn hues, a wou se hierkommen. Déi nächst Kéier, wann den Tunnel feelt, vergläich d’ID aus dem Gateway-Log mat där Notiz: wann se sech ënnerscheet, kucks de d’Feld, net d’Passwuert.