Remote ID vo VPN na iPhone: čo toto pole skutočne znamená

Ste v Nastaveniach a pridávate konfiguráciu IKEv2, a dve polia žiadajú text, ktorý vám nikto nedal: Remote ID a Local ID. Ani jedno nie je vaše používateľské meno a ani jedno nie je druhá kópia poľa Server. Remote ID je identita, ktorú musí brána preukázať vášmu iPhone; Local ID je identita, ktorú váš iPhone deklaruje bráne. Pomýlite sa v ktoromkoľvek a tunel zomrie po tom, čo server už odpovedal, preto porucha vyzerá ako problém s heslom, no nie je ním.

Kde sa polia v iOS nachádzajú

Otvorte Nastavenia > Všeobecné > VPN a správa zariadení > VPN a pridajte konfiguráciu IKEv2. V časti Overovanie zvolíte Používateľské meno alebo Certifikát, a až potom sa Remote ID a Local ID objavia ako polia voľného textu. Sú to identifikátory, nie adresy: iOS ich nesie vo výmene IKE_AUTH, kde IKEv2 nazýva identitu iniciátora IDi a identitu protistrany IDr.

Po uložení iOS zbalí konfiguráciu do jedného riadka a prestane zobrazovať hodnoty. Predtým, než usúdite, že polia sú prázdne, ťuknite na tlačidlo informácií alebo znova otvorte profil. Konfigurácia odoslaná cez MDM ich môže úplne zošednúť, a to mení to, kto môže problém opraviť.

Remote ID je názov brány

Toto je hodnota, ktorú váš iPhone očakáva, že server preukáže. Pri overovaní certifikátom sa porovnáva s názvom v certifikáte servera, zvyčajne so subject alebo položkou subjectAltName. Ak je certifikát vydaný pre vpn.example.com, toto meno hostiteľa je Remote ID, aj keď sa k stroju dostanete cez holú IP adresu.

Tento nesúlad je klasická porucha: pakety prichádzajú, server odpovedá, a spojenie napriek tomu skolabuje, pretože identita v certifikáte nezodpovedá tomu, čo profil vyžadoval. Nasmerovanie poľa Server na surovú IP nepomôže a na mnohých bránach server jednoducho prestane odpovedať identite, ktorú nedokáže spárovať.

Brána má zodpovedajúce nastavenie. Server strongSwan posiela vlastnú identitu pomocou leftid a môže obmedziť identitu klienta pomocou rightid; ak sa obe strany nezhodnú na reťazci, IKE_AUTH zlyhá v oboch smeroch. Spýtajte sa operátora, pre ktorú identitu bol certifikát vydaný, namiesto opisovania URL z adresného riadka.

Apple dokumentuje kľúče užitočného zaťaženia ako RemoteIdentifier a LocalIdentifier v referencii nastavení IKEv2. Oba sú obyčajné reťazce, takže na veľkosti písmen a koncovej medzere môže záležať.

Local ID je to, čo deklaruje váš iPhone

Pri overovaní používateľským menom EAP kontroluje meno a heslo a Local ID je samostatná identita IKE, ktorú niektoré brány tiež vyžadujú. Brána môže vyžadovať, aby Local ID bolo rovné používateľskému menu, bolo e-mailovou adresou alebo zodpovedalo položke v jej politike pripojení; iné ho ignorujú. Nechať ho prázdne je bezpečné len vtedy, keď to operátor povie.

Pri overovaní certifikátom má Local ID zodpovedať identite, ktorú brána prijíma pre tento klientsky certifikát, často všeobecnému názvu certifikátu alebo hodnote naviazanej na záznam zariadenia. Skopírovanie profilu kolegu skopíruje aj jeho identitu. V najlepšom prípade brána zaznamená nesprávne zariadenie, v najhoršom vás politika pre jednotlivé zariadenia odmietne.

Pascou je predpokladať, že prázdne znamená žiadnu identitu. Nevypĺňajte prázdne pole svojou e-mailovou adresou len preto, že vyzerá nedokončené. Potvrďte zamýšľanú hodnotu a zadajte ju presne tak, ako bola daná.

Päťminútová kontrola pred uložením

Prejdite ich po poradí; prvý krok, ktorý zlyhá, je ten, ktorý treba opraviť.

1. Získajte od operátora tri reťazce: názov v certifikáte servera, očakávané Local ID a metódu overovania.
2. Zlaďte metódu overovania. Remote ID a Local ID nenahrádzajú používateľské meno a heslo a profil s certifikátom neprijme heslo.
3. Zadajte hodnoty presne, vrátane veľkosti písmen, bez koncovej medzery.
4. Nechajte overovanie certifikátov zapnuté. Inštalácia nesúvisiaceho koreňového certifikátu, aby varovanie stíchlo, nesúlad názvov skryje, namiesto toho, aby ho opravila.
5. Testujte na mobilných dátach, nie na kancelárskej Wi-Fi, aby sa klientsky portál alebo rozdelený DNS nevydávali za problém identity.

Čítajte tabuľku zhora. Časový limit v riadku Server znamená, že polia identity neboli nikdy testované, tak sa tam zastavte. Chyba, ktorá sa objaví až po odpovedi servera, je takmer vždy nesúlad Remote ID alebo Local ID.

Chyby, ktoré ukazujú na nesprávne pole

Správa ako "User authentication failed" sa týka prihlasovacích údajov alebo EAP, nie Remote ID. Varovanie certifikátu sa týka názvu v certifikáte, a tam sa Remote ID a pole Server stretávajú. "The VPN server did not respond" zvyčajne znamená, že UDP 500 a 4500 sa nikdy nedokončili alebo zlyhalo prechádzanie NAT, a žiadna identita sa neporovnávala.

Na strane brány vyzerajú zlyhania identity inak: peer je odmietnutý počas IKE_AUTH alebo log uvedie ID, ktoré klient poslal, a povie, že nezodpovedá žiadnemu pripojeniu. Ten riadok v logu je najrýchlejší spôsob, ako spor vyriešiť, pretože ukazuje presný reťazec, ktorý telefón poslal.

Reset hesla neopraví očakávanú identitu servera a zmena Remote ID neopraví nesprávne heslo. Najprv oddeľte fázu, potom upravte pole, ktoré k nej patrí.

Keď je profil spravovaný

Ak sú polia šedé, konfigurácia prišla z MDM a telefón nie je miesto, kde to opraviť. Užitočné zaťaženie VPN nesie identifikátory, takže správna zmena je v profile na serveri správy a potom jeho preinštalovanie v zariadení.

V Nastaveniach > Všeobecné > VPN a správa zariadení skontrolujte, či je profil spravovaný a kto ho podpísal. Ak ho nemôžete odstrániť, nemôžete identifikátory upravovať lokálne, a druhý lokálny profil vytvára len konfliktnú konfiguráciu.

Pred zatvorením Nastavení si zapíšte tri reťazce, ktoré ste zadali, a odkiaľ pochádzajú. Keď nabudúce tunel zlyhá, porovnajte ID prijaté v logu brány s touto poznámkou: ak sa líši, pozeráte sa na pole, nie na heslo.