Remote ID iPhone VPN: ką šiame lauke iš tikrųjų reiškia

Jūs nustatymuose pridedate IKEv2 konfigūraciją, o du laukai prašo teksto, kurio niekas jums nedavė: Remote ID ir Local ID. Nė vienas jų nėra jūsų naudotojo vardas, ir nė vienas nėra antra Server lauko kopija. Remote ID yra tapatybė, kurią šliuzas turi įrodyti jūsų iPhone; Local ID yra tapatybė, kurią jūsų iPhone deklaruoja šliuzui. Suklyskite bet kuriame, ir tunelis miršta po to, kai serveris jau atsakė, todėl gedimas atrodo kaip slaptažodžio problema, nors ja nėra.

Kur yra laukai iOS

Atidarykite Nustatymai > Bendri > VPN ir įrenginių valdymas > VPN ir pridėkite IKEv2 konfigūraciją. Skiltyje Autentifikavimas pasirenkate Naudotojo vardą arba Sertifikatą, ir tik tada atsiranda Remote ID bei Local ID kaip laisvo teksto laukai. Tai identifikatoriai, ne adresai: iOS juos neša IKE_AUTH mainuose, kur IKEv2 iniciatoriaus tapatybę vadina IDi, o atsakovo — IDr.

Išsaugojus, iOS sulanksto konfigūraciją į vieną eilutę ir nustoja rodyti reikšmes. Paspauskite informacijos mygtuką arba dar kartą atidarykite profilį, prieš darydami išvadą, kad laukai tušti. MDM siųsta konfigūracija gali juos visiškai paversti pilkais, ir tai pakeičia, kas gali ištaisyti problemą.

Remote ID yra šliuzo vardas

Tai reikšmė, kurios jūsų iPhone tikisi, kad serveris įrodys. Sertifikato autentifikavimo atveju ji lyginama su vardu serverio sertifikate, paprastai su subject arba subjectAltName įrašu. Jei sertifikatas išduotas vpn.example.com, tas domeno vardas ir yra Remote ID, net kai į įrenginį patenkate pliku IP adresu.

Šis neatitikimas yra klasikinis gedimas: paketai ateina, serveris atsako, bet ryšys vis tiek sugriūva, nes sertifikate esanti tapatybė neatitinka to, ko reikalavo profilis. Server lauko nukreipimas į neapdorotą IP nepadeda, o daugelyje šliuzų serveris tiesiog nustoja atsakinėti į tapatybę, kurios negali suderinti.

Šliuzas turi atitinkamą nuostatą. strongSwan serveris siunčia savo tapatybę su leftid ir gali apriboti kliento tapatybę su rightid; jei abi pusės nesutaria dėl eilutės, IKE_AUTH nepavyksta abiem kryptimis. Paklauskite operatoriaus, kuriai tapatybei išduotas sertifikatas, o ne perrašykite URL iš naršyklės juostos.

Apple dokumentuoja naudos raktus kaip RemoteIdentifier ir LocalIdentifier savo IKEv2 nuostatų žinyne. Abu yra paprastos eilutės, todėl didžiosios ir mažosios raidės bei tarpas pabaigoje gali turėti reikšmės.

Local ID yra tai, ką deklaruoja jūsų iPhone

Naudotojo vardo autentifikavimo atveju EAP tikrina vardą ir slaptažodį, o Local ID yra atskira IKE tapatybė, kurios kai kurie šliuzai taip pat reikalauja. Šliuzas gali reikalauti, kad Local ID būtų lygus naudotojo vardui, būtų elektroninio pašto adresas arba atitiktų jo ryšių politikos įrašą; kiti jo nepaiso. Palikti jį tuščią saugu tik tada, kai operatorius taip sako.

Sertifikato autentifikavimo atveju Local ID turi atitikti tapatybę, kurią šliuzas priima tam kliento sertifikatui, dažnai sertifikato bendrąjį vardą arba reikšmę, susietą su įrenginio įrašu. Kolegos profilio kopijavimas nukopijuoja ir jo tapatybę. Geriausiu atveju šliuzas užregistruoja ne tą įrenginį, blogiausiu — kiekvieno įrenginio politika jus atmeta.

Spąstai yra manyti, kad tuščia reiškia jokios tapatybės. Nepildykite tuščio lauko savo elektroninio pašto adresu vien todėl, kad jis atrodo nebaigtas. Patvirtinkite numatytą reikšmę ir įveskite ją tiksliai taip, kaip buvo duota.

Penkių minučių patikra prieš išsaugant

Pereikite juos iš eilės; pirmas nepavykęs žingsnis yra tas, kurį reikia taisyti.

1. Gaukite tris eilutes iš operatoriaus: vardą serverio sertifikate, laukiamą Local ID ir autentifikavimo metodą.
2. Suderinkite autentifikavimo metodą. Remote ID ir Local ID nepakeičia naudotojo vardo ir slaptažodžio, o sertifikato profilis nepriims slaptažodžio.
3. Įveskite reikšmes tiksliai, įskaitant didžiąsias ir mažąsias raides, be tarpo pabaigoje.
4. Palikite sertifikatų tikrinimą įjungtą. Nesusijusio šakninio sertifikato įdiegimas, kad nutildytumėte įspėjimą, paslepia vardų neatitikimą, o ne jį ištaiso.
5. Bandykite su mobiliaisiais duomenimis, ne su biuro Wi-Fi, kad belaisvis portalas ar suskaidytas DNS neapsimestų tapatybės problema.

Skaitykite lentelę iš viršaus. Server eilutėje suveikusi laiko riba reiškia, kad tapatybės laukai niekada nebuvo tikrinti, todėl sustokite ten. Klaida, kuri pasirodo tik po serverio atsakymo, beveik visada yra Remote ID arba Local ID neatitikimas.

Klaidos, rodančios į netinkamą lauką

Pranešimas kaip "User authentication failed" susijęs su prisijungimo duomenimis arba EAP, ne su Remote ID. Sertifikato įspėjimas susijęs su vardu sertifikate, ir būtent ten susitinka Remote ID ir Server laukas. "The VPN server did not respond" paprastai reiškia, kad UDP 500 ir 4500 nebuvo užbaigti arba NAT perėjimas nepavyko, ir jokia tapatybė nebuvo lyginama.

Šliuzo pusėje tapatybės gedimai atrodo kitaip: partneris atmetamas per IKE_AUTH, arba žurnalas įvardija kliento atsiųstą ID ir sako, kad jis neatitinka jokio ryšio. Ta žurnalo eilutė yra greičiausias būdas išspręsti ginčą, nes parodo tikslią eilutę, kurią atsiuntė telefonas.

Slaptažodžio atstatymas nepataisys laukiamos serverio tapatybės, o Remote ID pakeitimas nepataisys neteisingo slaptažodžio. Pirmiausia atskirkite etapą, tada redaguokite tam etapui priklausantį lauką.

Kai profilis valdomas

Jei laukai pilki, konfigūracija atėjo iš MDM ir telefonas nėra vieta jai taisyti. VPN nauda neša identifikatorius, todėl teisingas pakeitimas yra valdymo serverio profilyje, o po to jį reikia įdiegti iš naujo įrenginyje.

Nustatymuose > Bendri > VPN ir įrenginių valdymas patikrinkite, ar profilis valdomas ir kas jį pasirašė. Jei negalite jo pašalinti, negalite identifikatorių redaguoti vietoje, o antras vietinis profilis tik sukuria prieštaringą konfigūraciją.

Prieš uždarydami Nustatymus užsirašykite tris įvestas eilutes ir iš kur jos atsirado. Kai kitą kartą tunelis nepavyks, palyginkite šliuzo žurnale gautą ID su tuo užrašu: jei jis skiriasi, žiūrite į lauką, o ne į slaptažodį.