Remote ID in de VPN op de iPhone: wat dat veld echt betekent
Remote ID is de identiteit die de server aan je iPhone moet bewijzen; Local ID is de identiteit die de client claimt. Hier staat welke tekenreeks in welk veld hoort.
Je bent in Instellingen een IKEv2-configuratie aan het toevoegen, en twee velden vragen om tekst die niemand je heeft gegeven: Remote ID en Local ID. Geen van beide is je gebruikersnaam, en geen van beide is een tweede kopie van het veld Server. Remote ID is de identiteit die de gateway aan je iPhone moet bewijzen; Local ID is de identiteit die je iPhone tegenover de gateway claimt. Vergis je in een van beide, dan sterft de tunnel nadat de server al heeft geantwoord, en daarom lijkt de fout op een wachtwoordprobleem zonder het te zijn.
Waar de velden in iOS staan
Open Instellingen > Algemeen > VPN en apparaatbeheer > VPN en voeg een IKEv2-configuratie toe. Onder Verificatie kies je Gebruikersnaam of Certificaat, en pas dan verschijnen Remote ID en Local ID als vrije tekstvelden. Het zijn identificaties, geen adressen: iOS draagt ze in de IKE_AUTH-uitwisseling, waar IKEv2 de identiteit van de initiator IDi noemt en die van de responder IDr.
Na opslaan vouwt iOS de configuratie samen tot één regel en toont de waarden niet meer. Tik op de infoknop of open het profiel opnieuw voordat je concludeert dat de velden leeg zijn. Een configuratie die via MDM is gepusht, kan ze volledig grijs maken, en dat verandert wie het probleem kan oplossen.
Remote ID is de naam van de gateway
Dit is de waarde waarvan je iPhone verwacht dat de server hem bewijst. Bij certificaatverificatie wordt die vergeleken met de naam in het servercertificaat, meestal het subject of een subjectAltName-vermelding. Is het certificaat uitgegeven voor vpn.example.com, dan is die hostnaam de Remote ID, ook wanneer je de machine via een kaal IP-adres bereikt.
Die mismatch is de klassieke fout: pakketten komen aan, de server antwoordt, en toch klapt de verbinding in elkaar omdat de identiteit in het certificaat niet overeenkomt met wat het profiel eiste. Het veld Server naar het ruwe IP wijzen helpt niet, en bij veel gateways stopt de server simpelweg met antwoorden op een identiteit die hij niet kan koppelen.
De gateway heeft een bijbehorende instelling. Een strongSwan-server stuurt zijn eigen identiteit met leftid en kan de clientidentiteit met rightid beperken; als beide kanten het niet eens zijn over de tekenreeks, faalt IKE_AUTH in beide richtingen. Vraag de beheerder voor welke identiteit het certificaat is uitgegeven in plaats van de URL uit de adresbalk over te typen.
Apple documenteert de payloadsleutels als RemoteIdentifier en LocalIdentifier in zijn naslag voor IKEv2-instellingen. Beide zijn gewone tekenreeksen, dus hoofdletters en een spatie aan het einde kunnen uitmaken.
Local ID is wat je iPhone claimt
Bij verificatie met gebruikersnaam controleert EAP de naam en het wachtwoord, en Local ID is een aparte IKE-identiteit die sommige gateways ook afdwingen. Een gateway kan eisen dat Local ID gelijk is aan de gebruikersnaam, een e-mailadres is of overeenkomt met een vermelding in zijn verbindingsbeleid; andere negeren het. Leeg laten is alleen veilig als de beheerder dat zegt.
Bij certificaatverificatie moet Local ID overeenkomen met een identiteit die de gateway voor dat clientcertificaat accepteert, vaak de common name van het certificaat of een waarde die aan een apparaatrecord is gekoppeld. Het profiel van een collega kopiëren kopieert ook diens identiteit. In het beste geval logt de gateway het verkeerde apparaat; in het slechtste geval weigert een beleid per apparaat je.
De valkuil is aannemen dat leeg geen identiteit betekent. Vul een leeg veld niet met je e-mailadres alleen omdat het onaf lijkt. Bevestig de bedoelde waarde en voer die precies in zoals gegeven.
Een controle van vijf minuten voordat je opslaat
Werk ze in volgorde af; de eerste stap die mislukt, is degene die je moet repareren.
- Haal drie tekenreeksen bij de beheerder: de naam in het servercertificaat, de verwachte Local ID en de verificatiemethode.
- Laat de verificatiemethode kloppen. Remote ID en Local ID vervangen geen gebruikersnaam en wachtwoord, en een certificaatprofiel accepteert geen wachtwoord.
- Typ de waarden exact over, inclusief hoofdletters, zonder spatie aan het einde.
- Laat certificaatvalidatie aan staan. Een ongerelateerd rootcertificaat installeren om een waarschuwing te dempen verbergt een naamafwijking in plaats van hem te verhelpen.
- Test op mobiele data, niet op de Wi-Fi van kantoor, zodat een captive portal of gesplitste DNS zich niet voordoet als identiteitsprobleem.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Lees de tabel van boven naar beneden. Een time-out op de rij Server betekent dat de identiteitsvelden nooit zijn getest, dus stop daar. Een fout die pas na het antwoord van de server verschijnt, is bijna altijd een afwijking in Remote ID of Local ID.
Fouten die het verkeerde veld aanwijzen
Een melding als "User authentication failed" gaat over inloggegevens of EAP, niet over Remote ID. Een certificaatwaarschuwing gaat over de naam in het certificaat, en daar raken Remote ID en het veld Server elkaar. "The VPN server did not respond" betekent meestal dat UDP 500 en 4500 nooit zijn afgerond of dat NAT-traversal mislukte, en dat er geen identiteit is vergeleken.
Aan de gatewaykant zien identiteitsfouten er anders uit: de peer wordt tijdens IKE_AUTH geweigerd, of het log noemt de ID die de client stuurde en zegt dat die bij geen enkele verbinding past. Die logregel is de snelste manier om de discussie te beslechten, want hij toont de exacte tekenreeks die de telefoon stuurde.
Een wachtwoord resetten repareert geen verwachte serveridentiteit, en Remote ID wijzigen repareert geen verkeerd wachtwoord. Scheid eerst de fase en bewerk daarna het veld dat bij die fase hoort.
Wanneer het profiel beheerd wordt
Zijn de velden grijs, dan komt de configuratie van MDM en is de telefoon niet de plek om dit te verhelpen. De VPN-payload draagt de identificaties, dus de juiste wijziging zit in het profiel op de beheerserver, gevolgd door herinstallatie op het apparaat.
Controleer in Instellingen > Algemeen > VPN en apparaatbeheer of het profiel beheerd wordt en wie het heeft ondertekend. Kun je het niet verwijderen, dan kun je de identificaties niet lokaal bewerken, en een tweede lokaal profiel levert alleen een conflicterende configuratie op.
Schrijf voordat je Instellingen sluit de drie tekenreeksen op die je hebt ingevoerd en waar ze vandaan komen. Als de tunnel de volgende keer faalt, vergelijk je de ID die het gatewaylog ontving met die notitie: wijkt die af, dan kijk je naar het veld, niet naar het wachtwoord.