Remote ID dalam VPN di iPhone: apa maksud medan itu sebenarnya
Remote ID ialah identiti yang perlu dibuktikan pelayan kepada iPhone anda; Local ID ialah identiti yang didakwa klien. Berikut rentetan mana yang masuk ke medan mana.
Anda berada dalam Tetapan, menambah konfigurasi IKEv2, dan dua medan meminta teks yang tiada siapa berikan kepada anda: Remote ID dan Local ID. Kedua-duanya bukan nama pengguna anda, dan kedua-duanya bukan salinan kedua medan Server. Remote ID ialah identiti yang perlu dibuktikan gerbang kepada iPhone anda; Local ID ialah identiti yang didakwa iPhone anda kepada gerbang. Salah satu sahaja silap, terowong mati selepas pelayan sudah menjawab, itulah sebabnya kegagalan kelihatan seperti masalah kata laluan tetapi bukan.
Di mana medan itu terletak dalam iOS
Buka Tetapan > Umum > VPN dan pengurusan peranti > VPN dan tambah konfigurasi IKEv2. Di bawah Pengesahan anda memilih Nama Pengguna atau Sijil, dan barulah Remote ID dan Local ID muncul sebagai kotak teks bebas. Ini pengecam, bukan alamat: iOS membawanya dalam pertukaran IKE_AUTH, tempat IKEv2 menamakan identiti pemula IDi dan identiti penjawab IDr.
Selepas disimpan, iOS melipat konfigurasi menjadi satu baris dan berhenti memaparkan nilainya. Ketik butang maklumat atau buka semula profil sebelum membuat kesimpulan medan itu kosong. Konfigurasi yang ditolak oleh MDM boleh menjadikannya kelabu sepenuhnya, dan itu mengubah siapa yang boleh membaiki masalah.
Remote ID ialah nama gerbang
Inilah nilai yang iPhone anda jangkakan pelayan buktikan. Dengan pengesahan sijil, nilai ini dibandingkan dengan nama dalam sijil pelayan, biasanya subject atau entri subjectAltName. Jika sijil dikeluarkan untuk vpn.example.com, nama hos itulah Remote ID, walaupun anda sampai ke mesin melalui alamat IP kosong.
Ketidakpadanan itu ialah kegagalan klasik: paket tiba, pelayan menjawab, dan sambungan tetap runtuh kerana identiti dalam sijil tidak sepadan dengan apa yang dituntut profil. Menghalakan medan Server ke IP mentah tidak membantu, dan pada banyak gerbang pelayan berhenti menjawab identiti yang tidak dapat dipadankannya.
Gerbang mempunyai tetapan yang sepadan. Pelayan strongSwan menghantar identitinya sendiri dengan leftid dan boleh mengehadkan identiti klien dengan rightid; jika kedua-dua pihak tidak bersetuju tentang rentetan itu, IKE_AUTH gagal dalam kedua-dua arah. Tanya pengendali identiti mana sijil itu dikeluarkan, bukan menyalin URL daripada bar pelayar.
Apple mendokumenkan kunci muatan sebagai RemoteIdentifier dan LocalIdentifier dalam rujukan tetapan IKEv2 mereka. Kedua-duanya rentetan biasa, jadi huruf besar kecil dan ruang di hujung boleh penting.
Local ID ialah apa yang didakwa iPhone anda
Dengan pengesahan nama pengguna, EAP menyemak nama dan kata laluan, dan Local ID ialah identiti IKE berasingan yang juga dikuatkuasakan sesetengah gerbang. Gerbang boleh menuntut Local ID sama dengan nama pengguna, berupa alamat e-mel, atau sepadan dengan entri dalam dasar sambungannya; yang lain mengabaikannya. Membiarkannya kosong hanya selamat apabila pengendali berkata begitu.
Dengan pengesahan sijil, Local ID harus sepadan dengan identiti yang diterima gerbang untuk sijil klien itu, selalunya nama umum sijil atau nilai yang dipetakan kepada rekod peranti. Menyalin profil rakan sekerja menyalin identiti mereka juga. Dalam keadaan terbaik gerbang merekodkan peranti yang salah; dalam keadaan terburuk dasar setiap peranti menolak anda.
Perangkapnya ialah menganggap kosong bermakna tiada identiti. Jangan isi medan kosong dengan alamat e-mel anda hanya kerana ia kelihatan belum siap. Sahkan nilai yang dimaksudkan dan masukkannya tepat seperti yang diberikan.
Semakan lima minit sebelum menyimpan
Lalui semuanya mengikut urutan; langkah pertama yang gagal ialah yang perlu dibaiki.
- Dapatkan tiga rentetan daripada pengendali: nama dalam sijil pelayan, Local ID yang dijangka dan kaedah pengesahan.
- Padankan kaedah pengesahan. Remote ID dan Local ID tidak menggantikan nama pengguna dan kata laluan, dan profil sijil tidak akan menerima kata laluan.
- Taip nilai itu tepat, termasuk huruf besar kecil, tanpa ruang di hujung.
- Biarkan pengesahan sijil dihidupkan. Memasang sijil akar yang tidak berkaitan untuk menyenyapkan amaran menyembunyikan ketidakpadanan nama, bukan membaikinya.
- Uji dengan data mudah alih, bukan Wi-Fi pejabat, supaya portal tawanan atau DNS terbelah tidak menyamar sebagai masalah identiti.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Baca jadual dari atas. Tamat masa pada baris Server bermakna medan identiti tidak pernah diuji, jadi berhenti di situ. Ralat yang muncul hanya selepas pelayan menjawab hampir selalu ketidakpadanan Remote ID atau Local ID.
Ralat yang menunjuk medan yang salah
Mesej seperti "User authentication failed" berkaitan kelayakan atau EAP, bukan Remote ID. Amaran sijil berkaitan nama dalam sijil, dan di situlah Remote ID bertemu medan Server. "The VPN server did not respond" biasanya bermakna UDP 500 dan 4500 tidak pernah selesai, atau NAT traversal gagal, dan tiada identiti dibandingkan.
Di sisi gerbang, kegagalan identiti kelihatan berbeza: rakan ditolak semasa IKE_AUTH, atau log menamakan ID yang dihantar klien dan menyatakan ia tidak sepadan dengan mana-mana sambungan. Baris log itu cara terpantas menyelesaikan perdebatan, kerana ia menunjukkan rentetan tepat yang dihantar telefon.
Menetapkan semula kata laluan tidak akan membaiki identiti pelayan yang dijangka, dan menukar Remote ID tidak akan membaiki kata laluan yang salah. Pisahkan peringkat dahulu, kemudian sunting medan yang tergolong dalam peringkat itu.
Apabila profil diuruskan
Jika medan kelabu, konfigurasi datang daripada MDM dan telefon bukan tempat untuk membaikinya. Muatan VPN membawa pengecam, jadi perubahan yang betul ada pada profil di pelayan pengurusan, diikuti pemasangan semula pada peranti.
Semak dalam Tetapan > Umum > VPN dan pengurusan peranti sama ada profil diuruskan dan siapa yang menandatanganinya. Jika anda tidak boleh mengeluarkannya, anda tidak boleh menyunting pengecam secara setempat, dan profil setempat kedua hanya mencipta konfigurasi yang bercanggah.
Sebelum menutup Tetapan, catat tiga rentetan yang anda masukkan dan dari mana asalnya. Kali seterusnya terowong gagal, bandingkan ID yang diterima dalam log gerbang dengan nota itu: jika berbeza, anda melihat medan, bukan kata laluan.