Remote ID fil-VPN fuq l-iPhone: xi tfisser verament dan il-qasam
Remote ID hija l-identità li s-server irid jipprova lill-iPhone tiegħek; Local ID hija l-identità li tiddikjara l-klijent. Hawn hu liema string tmur f’liema qasam.
Inti fis-Settings, qed iżżid konfigurazzjoni IKEv2, u żewġ oqsma jitolbu test li ħadd ma tak: Remote ID u Local ID. L-ebda waħda mhi ismek tal-utent, u l-ebda waħda mhi t-tieni kopja tal-qasam Server. Remote ID hija l-identità li l-gateway irid jipprova lill-iPhone tiegħek; Local ID hija l-identità li l-iPhone tiegħek jiddikjara lill-gateway. Jekk tiżbalja f’waħda minnhom, it-tunnel imut wara li s-server ikun diġà wieġeb, u għalhekk il-falliment jidher bħala problema tal-password mingħajr ma hi.
Fejn jinsabu l-oqsma fl-iOS
Iftaħ Settings > Ġenerali > VPN u mmaniġġjar tal-apparat > VPN u żid konfigurazzjoni IKEv2. Taħt Autentikazzjoni tagħżel Isem tal-Utent jew Ċertifikat, u biss imbagħad jidhru Remote ID u Local ID bħala kaxxi tat-test ħieles. Dawn huma identifikaturi, mhux indirizzi: iOS iġorrhom fl-iskambju IKE_AUTH, fejn IKEv2 isejjaħ l-identità tal-inizjatur IDi u dik tar-risponditur IDr.
Wara li tissejvja, iOS jingħalaq il-konfigurazzjoni f’ringiela waħda u jieqaf juri l-valuri. Agħfas il-buttuna tal-informazzjoni jew erġa’ iftaħ il-profil qabel ma tikkonkludi li l-oqsma huma vojta. Konfigurazzjoni mbuttata mill-MDM tista’ tagħmilhom griż għal kollox, u dan ibiddel min jista’ jsewwi l-problema.
Remote ID huwa l-isem tal-gateway
Dan huwa l-valur li l-iPhone tiegħek jistenna li s-server jipprova. Bl-autentikazzjoni b’ċertifikat dan jiġi mqabbel mal-isem fiċ-ċertifikat tas-server, normalment is-subject jew entrata subjectAltName. Jekk iċ-ċertifikat jinħareġ għal vpn.example.com, dak l-isem tal-host huwa r-Remote ID, anki meta tasal sal-magna b’indirizz IP vojt.
Dan in-nuqqas ta’ qbil huwa l-falliment klassiku: il-pakketti jaslu, is-server iwieġeb, u l-konnessjoni xorta taqa’ għax l-identità fiċ-ċertifikat ma taqbilx ma’ dak li talab il-profil. Li tressaq il-qasam Server lejn l-IP nej ma jgħin, u f’ħafna gateways is-server sempliċement jieqaf iwieġeb għal identità li ma jistax iqabbel.
Il-gateway għandu setting li jaqbel. Server strongSwan jibgħat l-identità tiegħu stess b’leftid u jista’ jillimita l-identità tal-klijent b’rightid; jekk iż-żewġ naħat ma jaqblux fuq il-string, IKE_AUTH ifalli fiż-żewġ direzzjonijiet. Staqsi lill-operatur għal liema identità nħareġ iċ-ċertifikat minflok ma tikkopja l-URL mill-bar tal-browser.
Apple tiddokumenta l-muftieħ tal-payload bħala RemoteIdentifier u LocalIdentifier fir-referenza tas-settings IKEv2 tagħha. It-tnejn huma strings sempliċi, għalhekk il-kapitali u spazju fl-aħħar jistgħu jgħoddu.
Local ID huwa dak li jiddikjara l-iPhone tiegħek
Bl-autentikazzjoni bl-isem tal-utent EAP jiċċekkja l-isem u l-password, u Local ID hija identità IKE separata li xi gateways jinfurzaw ukoll. Gateway jista’ jitlob li Local ID tkun ugwali għall-isem tal-utent, tkun indirizz tal-email, jew taqbel ma’ entrata fil-politika tal-konnessjonijiet tiegħu; oħrajn jinjorawha. Li tħalliha vojta huwa sigur biss meta l-operatur jgħid hekk.
Bl-autentikazzjoni b’ċertifikat, Local ID għandha taqbel ma’ identità li l-gateway jaċċetta għal dak iċ-ċertifikat tal-klijent, spiss l-isem komuni taċ-ċertifikat jew valur marbut ma’ rekord tal-apparat. Li tikkopja l-profil ta’ kollega jikkopja wkoll l-identità tiegħu. Fl-aħjar każ il-gateway jirreġistra l-apparat ħażin; fl-agħar każ politika għal kull apparat tirrifjutak.
In-nassa hija li tassumi li vojt ifisser l-ebda identità. Timlax qasam vojt bl-indirizz tal-email tiegħek biss għax jidher mhux komplut. Ikkonferma l-valur maħsub u daħħlu eżatt kif ingħata.
Verifika ta’ ħames minuti qabel ma tissejvja
Mexxi minnhom fl-ordni; l-ewwel pass li jfalli huwa dak li għandu jiġi ssettjat.
- Ġib tliet strings mill-operatur: l-isem fiċ-ċertifikat tas-server, il-Local ID mistenni u l-metodu tal-autentikazzjoni.
- Qabbel il-metodu tal-autentikazzjoni. Remote ID u Local ID ma jissostitwixxux isem tal-utent u password, u profil b’ċertifikat mhux se jaċċetta password.
- Ittajpja l-valuri eżatt, inkluż il-kapitali, mingħajr spazju fl-aħħar.
- Ħalli l-validazzjoni taċ-ċertifikat mixgħula. Li tinstalla ċertifikat root mhux relatat biex tissoprissi twissija jaħbi nuqqas ta’ qbil fl-isem minflok ma jsewwih.
- Ittestja b’data mobbli, mhux bil-Wi-Fi tal-uffiċċju, sabiex portal captive jew DNS maqsum ma jidhrux bħala problema tal-identità.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Aqra t-tabella minn fuq. Timeout fir-ringiela Server ifisser li l-oqsma tal-identità qatt ma ġew ittestjati, allura waqaf hemm. Żball li jidher biss wara li s-server ikun wieġeb kważi dejjem huwa nuqqas ta’ qbil f’Remote ID jew Local ID.
Żbalji li jindikaw il-qasam ħażin
Messaġġ bħal "User authentication failed" jirrigwarda kredenzjali jew EAP, mhux Remote ID. Twissija taċ-ċertifikat tirrigwarda l-isem fiċ-ċertifikat, u hemmhekk jiltaqgħu Remote ID u l-qasam Server. "The VPN server did not respond" normalment ifisser li UDP 500 u 4500 qatt ma tlestew, jew li t-traversal NAT falla, u li l-ebda identità ma ġiet imqabbla.
Fuq in-naħa tal-gateway, il-fallimenti tal-identità jidhru differenti: il-peer jiġi miċħud waqt IKE_AUTH, jew il-log isemmi l-ID li bagħat il-klijent u jgħid li ma taqbel mal-ebda konnessjoni. Dik il-linja tal-log hija l-aktar mod mgħaġġel biex issolvi l-argument, għax turi l-string eżatt li bagħat it-telefon.
Li terġa’ tissettja password ma ssewwix identità tas-server mistennija, u li tbiddel Remote ID ma ssewwix password ħażina. Issepara l-istadju l-ewwel, imbagħad editja l-qasam li jappartjeni għal dak l-istadju.
Meta l-profil ikun ġestit
Jekk l-oqsma huma griżi, il-konfigurazzjoni ġiet mill-MDM u t-telefon mhuwiex il-post biex tissewwiha. Il-payload VPN iġorr l-identifikaturi, għalhekk il-bidla t-tajba hija fil-profil fuq is-server tal-ġestjoni, segwita mill-installazzjoni mill-ġdid fuq l-apparat.
Iċċekkja fi Settings > Ġenerali > VPN u mmaniġġjar tal-apparat jekk il-profil huwiex ġestit u min iffirmah. Jekk ma tistax tneħħih, ma tistax tedita l-identifikaturi lokalment, u t-tieni profil lokali joħloq biss konfigurazzjoni konfliġġenti.
Qabel ma tagħlaq is-Settings, innota t-tliet strings li daħħalt u minn fejn ġew. Id-darba li jmiss li t-tunnel ifalli, qabbel l-ID li waslet fil-log tal-gateway ma’ dik in-nota: jekk hija differenti, qed tħares lejn il-qasam, mhux il-password.