Remote ID iPhone VPN: ko šis lauks patiesībā nozīmē

Jūs iestatījumos pievienojat IKEv2 konfigurāciju, un divi lauki prasa tekstu, ko neviens jums nav devis: Remote ID un Local ID. Neviens no tiem nav jūsu lietotājvārds, un neviens nav otra Server lauka kopija. Remote ID ir identitāte, kas vārtejai jāpierāda jūsu iPhone; Local ID ir identitāte, ko jūsu iPhone pieprasa vārtejai. Kļūdieties jebkurā no tiem, un tunelis mirst pēc tam, kad serveris jau ir atbildējis, tāpēc kļūme izskatās pēc paroles problēmas, lai gan tā nav.

Kur atrodas lauki iOS

Atveriet Iestatījumi > Vispārīgi > VPN un ierīču pārvaldība > VPN un pievienojiet IKEv2 konfigurāciju. Sadaļā Autentifikācija jūs izvēlaties Lietotājvārdu vai Sertifikātu, un tikai tad parādās Remote ID un Local ID kā brīva teksta lauki. Tie ir identifikatori, nevis adreses: iOS tos pārnēsā IKE_AUTH apmaiņā, kur IKEv2 iniciatora identitāti sauc IDi, bet atbildētāja — IDr.

Pēc saglabāšanas iOS saloka konfigurāciju vienā rindā un pārstāj rādīt vērtības. Pieskarieties informācijas pogai vai atveriet profilu vēlreiz, pirms secināt, ka lauki ir tukši. MDM nosūtīta konfigurācija var padarīt tos pilnīgi pelēkus, un tas maina, kas var novērst problēmu.

Remote ID ir vārtejas nosaukums

Šī ir vērtība, kuru jūsu iPhone gaida, lai serveris to pierādītu. Sertifikāta autentifikācijā tā tiek salīdzināta ar nosaukumu servera sertifikātā, parasti ar subject vai subjectAltName ierakstu. Ja sertifikāts ir izsniegts vpn.example.com, tad šis mitinātāja nosaukums ir Remote ID, pat ja ierīci sasniedzat ar kailu IP adresi.

Šī neatbilstība ir klasiskā kļūme: paketes ierodas, serveris atbild, un tomēr savienojums sabrūk, jo sertifikātā esošā identitāte neatbilst tam, ko prasīja profils. Server lauka vēršana uz neapstrādātu IP nepalīdz, un daudzās vārtejās serveris vienkārši pārstāj atbildēt uz identitāti, kuru nespēj saskaņot.

Vārtejai ir atbilstošs iestatījums. strongSwan serveris sūta savu identitāti ar leftid un var ierobežot klienta identitāti ar rightid; ja abas puses nevienojas par virkni, IKE_AUTH neizdodas abos virzienos. Jautājiet operatoram, kurai identitātei sertifikāts izsniegts, nevis pārrakstiet URL no pārlūka joslas.

Apple dokumentē kravas atslēgas kā RemoteIdentifier un LocalIdentifier savā IKEv2 iestatījumu uzziņā. Abas ir vienkāršas virknes, tāpēc lielo un mazo burtu lietojums un atstarpe beigās var būt svarīga.

Local ID ir tas, ko pieprasa jūsu iPhone

Lietotājvārda autentifikācijā EAP pārbauda vārdu un paroli, un Local ID ir atsevišķa IKE identitāte, ko dažas vārtejas arī pieprasa. Vārteja var prasīt, lai Local ID būtu vienāds ar lietotājvārdu, būtu e-pasta adrese vai atbilstu tās savienojumu politikas ierakstam; citas to ignorē. Atstāt to tukšu ir droši tikai tad, kad operators tā saka.

Sertifikāta autentifikācijā Local ID jāatbilst identitātei, ko vārteja pieņem šim klienta sertifikātam, bieži sertifikāta parastajam nosaukumam vai vērtībai, kas piesaistīta ierīces ierakstam. Kolēģa profila kopēšana nokopē arī viņa identitāti. Labākajā gadījumā vārteja reģistrē nepareizo ierīci, sliktākajā — politika katrai ierīcei jūs noraida.

Slazds ir pieņemt, ka tukšs nozīmē nekādu identitāti. Neaizpildiet tukšu lauku ar savu e-pasta adresi tikai tāpēc, ka tas izskatās nepabeigts. Apstipriniet paredzēto vērtību un ievadiet to tieši tā, kā tā dota.

Piecu minūšu pārbaude pirms saglabāšanas

Izstaigājiet tos pēc kārtas; pirmais neizdevušais solis ir tas, kas jālabo.

1. Iegūstiet trīs virknes no operatora: nosaukumu servera sertifikātā, gaidīto Local ID un autentifikācijas metodi.
2. Saskaņojiet autentifikācijas metodi. Remote ID un Local ID neaizstāj lietotājvārdu un paroli, un sertifikāta profils nepieņems paroli.
3. Ievadiet vērtības precīzi, tostarp lielos un mazos burtus, bez atstarpes beigās.
4. Atstājiet sertifikātu validāciju ieslēgtu. Nesaistīta saknes sertifikāta instalēšana, lai apklusinātu brīdinājumu, paslēpj nosaukumu neatbilstību, nevis to novērš.
5. Pārbaudiet ar mobilo datu savienojumu, nevis biroja Wi-Fi, lai uztveršanas portāls vai sadalīts DNS neuzdotos par identitātes problēmu.

Lasiet tabulu no augšas. Server rindā noticis taimauts nozīmē, ka identitātes lauki nekad netika pārbaudīti, tāpēc apstājieties tur. Kļūda, kas parādās tikai pēc servera atbildes, gandrīz vienmēr ir Remote ID vai Local ID neatbilstība.

Kļūdas, kas norāda uz nepareizo lauku

Ziņojums kā "User authentication failed" attiecas uz akreditācijas datiem vai EAP, nevis uz Remote ID. Sertifikāta brīdinājums attiecas uz nosaukumu sertifikātā, un tieši tur satiekas Remote ID un Server lauks. "The VPN server did not respond" parasti nozīmē, ka UDP 500 un 4500 netika pabeigti vai NAT šķērsošana neizdevās, un neviena identitāte netika salīdzināta.

Vārtejas pusē identitātes kļūmes izskatās citādi: partneris tiek noraidīts IKE_AUTH laikā, vai žurnāls nosauc klienta nosūtīto ID un saka, ka tas neatbilst nevienam savienojumam. Šī žurnāla rinda ir ātrākais veids, kā izšķirt strīdu, jo tā parāda precīzo virkni, ko nosūtīja tālrunis.

Paroles atiestatīšana nesalabos gaidīto servera identitāti, un Remote ID maiņa nesalabos nepareizu paroli. Vispirms atdaliet posmu, pēc tam rediģējiet lauku, kas pieder šim posmam.

Kad profils tiek pārvaldīts

Ja lauki ir pelēki, konfigurācija nākusi no MDM, un tālrunis nav vieta, kur to labot. VPN krava nes identifikatorus, tāpēc pareizā izmaiņa ir profilā pārvaldības serverī, un pēc tam tas jāinstalē no jauna ierīcē.

Iestatījumos > Vispārīgi > VPN un ierīču pārvaldība pārbaudiet, vai profils tiek pārvaldīts un kas to parakstījis. Ja nevarat to noņemt, jūs nevarat identifikatorus rediģēt lokāli, un otrs lokālais profils rada tikai pretrunīgu konfigurāciju.

Pirms aizverat Iestatījumus, pierakstiet trīs ievadītās virknes un to izcelsmi. Nākamreiz, kad tunelis neizdosies, salīdziniet vārtejas žurnālā saņemto ID ar šo piezīmi: ja tas atšķiras, jūs skatāties uz lauku, nevis paroli.