Remote ID în VPN pe iPhone: ce înseamnă de fapt acest câmp

Ești în Setări și adaugi o configurație IKEv2, iar două câmpuri cer un text pe care nimeni nu ți l-a dat: Remote ID și Local ID. Niciunul nu este numele tău de utilizator și niciunul nu este o a doua copie a câmpului Server. Remote ID este identitatea pe care gateway-ul trebuie să o demonstreze iPhone-ului tău; Local ID este identitatea pe care iPhone-ul tău o revendică în fața gateway-ului. Greșești oricare și tunelul moare după ce serverul a răspuns deja, de aceea eșecul arată ca o problemă de parolă fără să fie.

Unde se află câmpurile în iOS

Deschide Setări > General > VPN și gestionarea dispozitivelor > VPN și adaugă o configurație IKEv2. La Autentificare alegi Nume de utilizator sau Certificat, și abia apoi apar Remote ID și Local ID ca fiind câmpuri de text liber. Sunt identificatori, nu adrese: iOS le transportă în schimbul IKE_AUTH, unde IKEv2 numește identitatea inițiatorului IDi, iar cea a respondenței IDr.

După salvare, iOS pliază configurația într-un singur rând și nu mai afișează valorile. Atinge butonul de informații sau deschide din nou profilul înainte de a concluziona că câmpurile sunt goale. O configurație trimisă prin MDM le poate face complet gri, iar asta schimbă cine poate rezolva problema.

Remote ID este numele gateway-ului

Aceasta este valoarea pe care iPhone-ul tău așteaptă ca serverul să o demonstreze. La autentificarea cu certificat, ea este comparată cu numele din certificatul serverului, de obicei subject sau o intrare subjectAltName. Dacă certificatul este emis pentru vpn.example.com, acel nume de gazdă este Remote ID, chiar și când ajungi la mașină printr-o adresă IP goală.

Această nepotrivire este eșecul clasic: pachetele ajung, serverul răspunde, iar conexiunea se prăbușește totuși pentru că identitatea din certificat nu corespunde cu ce cerea profilul. Direcționarea câmpului Server către IP-ul brut nu ajută, iar pe multe gateway-uri serverul pur și simplu nu mai răspunde unei identități pe care nu o poate potrivi.

Gateway-ul are o setare corespunzătoare. Un server strongSwan își trimite propria identitate cu leftid și poate restricționa identitatea clientului cu rightid; dacă cele două părți nu cad de acord asupra șirului, IKE_AUTH eșuează în ambele direcții. Întreabă operatorul pentru ce identitate a fost emis certificatul în loc să copiezi URL-ul din bara browserului.

Apple documentează cheile încărcăturii ca RemoteIdentifier și LocalIdentifier în referința setărilor IKEv2. Ambele sunt șiruri simple, așa că majusculele și un spațiu la final pot conta.

Local ID este ceea ce revendică iPhone-ul tău

La autentificarea cu nume de utilizator, EAP verifică numele și parola, iar Local ID este o identitate IKE separată pe care unele gateway-uri o impun și ele. Un gateway poate cere ca Local ID să fie egal cu numele de utilizator, să fie o adresă de e-mail sau să corespundă unei intrări din politica sa de conexiuni; altele o ignoră. A-l lăsa gol este sigur doar când operatorul spune asta.

La autentificarea cu certificat, Local ID ar trebui să corespundă unei identități pe care gateway-ul o acceptă pentru acel certificat de client, adesea numele comun al certificatului sau o valoare asociată unui înregistrare de dispozitiv. Copierea profilului unui coleg copiază și identitatea lui. În cel mai bun caz gateway-ul înregistrează dispozitivul greșit; în cel mai rău, o politică pe dispozitiv te respinge.

Capcana este să presupui că gol înseamnă nicio identitate. Nu completa un câmp gol cu adresa ta de e-mail doar pentru că pare neterminat. Confirmă valoarea dorită și introdu-o exact așa cum a fost dată.

O verificare de cinci minute înainte de salvare

Parcurge-le în ordine; primul pas care eșuează este cel de corectat.

1. Obține trei șiruri de la operator: numele din certificatul serverului, Local ID așteptat și metoda de autentificare.
2. Potrivește metoda de autentificare. Remote ID și Local ID nu înlocuiesc un nume de utilizator și o parolă, iar un profil cu certificat nu va accepta o parolă.
3. Scrie valorile exact, inclusiv majusculele, fără spațiu la final.
4. Lasă validarea certificatelor pornită. Instalarea unui certificat rădăcină fără legătură pentru a înăbuși un avertisment ascunde o nepotrivire de nume în loc să o repare.
5. Testează pe date mobile, nu pe Wi-Fi-ul biroului, ca un portal captiv sau un DNS divizat să nu se dea drept problemă de identitate.

Citește tabelul de sus. Un timeout pe rândul Server înseamnă că câmpurile de identitate nu au fost niciodată testate, așa că oprește-te acolo. O eroare care apare doar după ce serverul a răspuns este aproape întotdeauna o nepotrivire de Remote ID sau Local ID.

Erori care indică câmpul greșit

Un mesaj ca "User authentication failed" privește acreditările sau EAP, nu Remote ID. Un avertisment de certificat privește numele din certificat, și acolo se întâlnesc Remote ID și câmpul Server. "The VPN server did not respond" înseamnă de obicei că UDP 500 și 4500 nu s-au finalizat niciodată sau că traversarea NAT a eșuat, și că nicio identitate nu a fost comparată.

De partea gateway-ului, eșecurile de identitate arată altfel: peer-ul este respins în timpul IKE_AUTH, sau jurnalul numește ID-ul trimis de client și spune că nu corespunde nicio conexiune. Acea linie de jurnal este cea mai rapidă cale de a tranșa disputa, pentru că arată șirul exact trimis de telefon.

Resetarea unei parole nu va repara o identitate de server așteptată, iar schimbarea Remote ID nu va repara o parolă greșită. Separă mai întâi etapa, apoi editează câmpul care aparține acelei etape.

Când profilul este administrat

Dacă câmpurile sunt gri, configurația a venit de la MDM și telefonul nu este locul unde se remediază. Încărcătura VPN poartă identificatorii, așa că schimbarea corectă este în profilul de pe serverul de administrare, urmată de reinstalarea lui pe dispozitiv.

Verifică în Setări > General > VPN și gestionarea dispozitivelor dacă profilul este administrat și cine l-a semnat. Dacă nu îl poți elimina, nu poți edita identificatorii local, iar un al doilea profil local creează doar o configurație conflictuală.

Înainte să închizi Setările, notează cele trei șiruri pe care le-ai introdus și de unde provin. Data viitoare când tunelul eșuează, compară ID-ul primit în jurnalul gateway-ului cu acea notă: dacă diferă, te uiți la câmp, nu la parolă.