Remote ID во VPN на iPhone: што всушност значи ова поле
Remote ID е идентитетот што серверот мора да му го докаже на вашиот iPhone; Local ID е идентитетот што клиентот го тврди. Еве која низа во кое поле припаѓа.
Во Поставки додавате IKEv2 конфигурација, а две полиња бараат текст што никој не ви го дал: Remote ID и Local ID. Ниту едно од нив не е вашето корисничко име, и ниту едно не е втора копија од полето Server. Remote ID е идентитетот што портата мора да му го докаже на вашиот iPhone; Local ID е идентитетот што вашиот iPhone го тврди пред портата. Погрешете било кое, и тунелот умира откако серверот веќе одговорил, затоа дефектот изгледа како проблем со лозинка, но не е.
Каде се наоѓаат полињата во iOS
Отворете Поставки > Општо > VPN и управување со уреди > VPN и додајте IKEv2 конфигурација. Под Автентикација избирате Корисничко име или Сертификат, и дури тогаш Remote ID и Local ID се појавуваат како полиња за слободен текст. Тоа се идентификатори, не адреси: iOS ги носи во IKE_AUTH размената, каде IKEv2 идентитетот на иницијаторот го нарекува IDi, а на одговорникот IDr.
По зачувувањето iOS ја превиткува конфигурацијата во еден ред и престанува да ги прикажува вредностите. Допрете го копчето за информации или отворете го профилот повторно пред да заклучите дека полињата се празни. Конфигурацијата испратена од MDM може целосно да ги засиви, а тоа го менува тоа кој може да го поправи проблемот.
Remote ID е името на портата
Ова е вредноста што вашиот iPhone очекува серверот да ја докаже. Со автентикација преку сертификат таа се споредува со името во сертификатот на серверот, обично subject или запис subjectAltName. Ако сертификатот е издаден за vpn.example.com, тоа име на домаќин е Remote ID, дури и кога до машината стигнувате преку гола IP адреса.
Тоа несовпаѓање е класичниот дефект: пакетите пристигнуваат, серверот одговара, а врската сепак паѓа затоа што идентитетот во сертификатот не одговара на она што го барал профилот. Насочувањето на полето Server кон суровата IP не помага, а на многу порти серверот едноставно престанува да одговара на идентитет што не може да го совпадне.
Портата има соодветна поставка. strongSwan серверот го испраќа сопствениот идентитет со leftid и може да го ограничи идентитетот на клиентот со rightid; ако двете страни не се согласат за низата, IKE_AUTH паѓа во двете насоки. Прашајте го операторот за кој идентитет е издаден сертификатот, наместо да го препишувате URL-то од лентата на прелистувачот.
Apple ги документира клучевите на товарот како RemoteIdentifier и LocalIdentifier во референцата за IKEv2 поставки. Двете се обични низи, па големината на буквите и празното место на крајот може да бидат важни.
Local ID е она што го тврди вашиот iPhone
Со автентикација преку корисничко име EAP ги проверува името и лозинката, а Local ID е посебен IKE идентитет што некои порти исто така го бараат. Портата може да бара Local ID да биде еднаков на корисничкото име, да биде е-пошта или да одговара на запис во нејзината политика за врски; други го игнорираат. Да го оставите празно е безбедно само кога операторот така вели.
Со автентикација преку сертификат Local ID треба да одговара на идентитет што портата го прифаќа за тој клиентски сертификат, често заедничкото име на сертификатот или вредност поврзана со запис за уред. Копирањето профил на колега го копира и неговиот идентитет. Во најдобар случај портата го запишува погрешниот уред, во најлош случај политика по уред ве одбива.
Стапицата е да претпоставите дека празно значи без идентитет. Не пополнувајте празно поле со вашата е-пошта само затоа што изгледа недовршено. Потврдете ја саканата вредност и внесете ја точно како што е дадена.
Петминутна проверка пред зачувување
Поминете ги по ред; првиот чекор што паѓа е тој што треба да се поправи.
- Земете три низи од операторот: името во сертификатот на серверот, очекуваниот Local ID и методот на автентикација.
- Усогласете го методот на автентикација. Remote ID и Local ID не заменуваат корисничко име и лозинка, а профилот со сертификат нема да прифати лозинка.
- Внесете ги вредностите точно, вклучително големи и мали букви, без празно место на крајот.
- Оставете ја проверката на сертификатот вклучена. Инсталирањето неповрзан коренски сертификат за да се смири предупредување го крие несовпаѓањето на името наместо да го поправи.
- Тестирајте на мобилни податоци, не на канцелариски Wi-Fi, за да не се претстават заробен портал или поделен DNS како проблем со идентитет.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Читајте ја табелата одозгора. Истек на времето во редот Server значи дека полињата за идентитет никогаш не биле тестирани, затоа застанете таму. Грешката што се појавува само откако серверот одговорил е речиси секогаш несовпаѓање на Remote ID или Local ID.
Грешки што покажуваат на погрешно поле
Порака како "User authentication failed" се однесува на акредитиви или EAP, не на Remote ID. Предупредувањето за сертификат се однесува на името во сертификатот, и токму таму се среќаваат Remote ID и полето Server. "The VPN server did not respond" обично значи дека UDP 500 и 4500 не завршиле или дека NAT преминот не успеал, и ниту еден идентитет не бил спореден.
На страната на портата дефектите на идентитетот изгледаат поинаку: партнерот се одбива за време на IKE_AUTH, или дневникот го именува ID-то што клиентот го испратил и вели дека не одговара на ниту една врска. Таа линија во дневникот е најбрзиот начин да се реши спорот, затоа што ја покажува точната низа што ја испратил телефонот.
Ресетирањето лозинка нема да поправи очекуван идентитет на сервер, а менувањето на Remote ID нема да поправи погрешна лозинка. Прво одделете ја фазата, потоа уредете го полето што и припаѓа на таа фаза.
Кога профилот се управува
Ако полињата се сиви, конфигурацијата дошла од MDM и телефонот не е местото каде што се поправа. VPN товарот ги носи идентификаторите, па правилната промена е во профилот на серверот за управување, по што следи негово повторно инсталирање на уредот.
Проверете во Поставки > Општо > VPN и управување со уреди дали профилот се управува и кој го потпишал. Ако не можете да го отстраните, не можете локално да ги уредувате идентификаторите, а втор локален профил создава само спротивна конфигурација.
Пред да ги затворите Поставки, запишете ги трите низи што ги внесовте и од каде доаѓаат. Следниот пат кога тунелот ќе падне, споредете го ID-то добиено во дневникот на портата со таа белешка: ако се разликува, гледате во полето, не во лозинката.