Remote ID v VPN na iPhonu: kaj to polje v resnici pomeni

V Nastavitvah dodajate konfiguracijo IKEv2, in dve polji zahtevata besedilo, ki vam ga ni nihče dal: Remote ID in Local ID. Nobeno ni vaše uporabniško ime in nobeno ni druga kopija polja Server. Remote ID je identiteta, ki jo mora prehod dokazati vašemu iPhonu; Local ID je identiteta, ki jo vaš iPhone zahteva prehodu. Zmotite se pri katerem koli in tunel umre po tem, ko je strežnik že odgovoril, zato je napaka videti kot težava z geslom, pa ni.

Kje so polja v iOS

Odprite Nastavitve > Splošno > VPN in upravljanje naprav > VPN ter dodajte konfiguracijo IKEv2. Pod Preverjanje pristnosti izberete Uporabniško ime ali Potrdilo, in šele nato se prikažeta Remote ID in Local ID kot polji prostega besedila. To so identifikatorji, ne naslovi: iOS jih nosi v izmenjavi IKE_AUTH, kjer IKEv2 imenuje identiteto začetnika IDi in identiteto odgovarjajočega IDr.

Po shranjevanju iOS konfiguracijo zloži v eno vrstico in preneha prikazovati vrednosti. Preden sklenete, da so polja prazna, se dotaknite gumba za informacije ali znova odprite profil. Konfiguracija, poslana prek MDM, jih lahko povsem osivi, to pa spremeni, kdo lahko težavo odpravi.

Remote ID je ime prehoda

To je vrednost, ki jo vaš iPhone pričakuje, da jo bo strežnik dokazal. Pri preverjanju s potrdilom se primerja z imenom v strežnikovem potrdilu, običajno s subject ali vnosom subjectAltName. Če je potrdilo izdano za vpn.example.com, je to ime gostitelja Remote ID, tudi ko do stroja pridete z golo IP-naslovom.

Ta neskladje je klasična napaka: paketi prispejo, strežnik odgovori, povezava pa vseeno pade, ker se identiteta v potrdilu ne ujema s tisto, ki jo je zahteval profil. Usmerjanje polja Server na surovi IP ne pomaga, na mnogih prehodih pa strežnik preprosto preneha odgovarjati na identiteto, ki je ne zna uskladiti.

Prehod ima ustrezno nastavitev. Strežnik strongSwan pošlje svojo identiteto z leftid in lahko omeji identiteto odjemalca z rightid; če se strani ne strinjata glede niza, IKE_AUTH spodleti v obe smeri. Vprašajte upravljavca, za katero identiteto je bilo potrdilo izdano, namesto da prepišete URL iz naslovne vrstice.

Apple dokumentira ključe tovora kot RemoteIdentifier in LocalIdentifier v referenci nastavitev IKEv2. Oba sta navadna niza, zato so lahko velike in male črke ter presledek na koncu pomembni.

Local ID je tisto, kar zahteva vaš iPhone

Pri preverjanju z uporabniškim imenom EAP preveri ime in geslo, Local ID pa je ločena identiteta IKE, ki jo zahtevajo tudi nekateri prehodi. Prehod lahko zahteva, da je Local ID enak uporabniškemu imenu, da je e-naslov ali da se ujema z vnosom v njegovi politiki povezav; drugi ga ignorirajo. Pustiti ga praznega je varno le, kadar upravljavec tako reče.

Pri preverjanju s potrdilom mora Local ID ustrezati identiteti, ki jo prehod sprejme za to odjemalsko potrdilo, pogosto skupnemu imenu potrdila ali vrednosti, povezani z zapisom naprave. Kopiranje profila sodelavca kopira tudi njegovo identiteto. V najboljšem primeru prehod zabeleži napačno napravo, v najslabšem pa vas politika za posamezno napravo zavrne.

Past je domneva, da prazno pomeni brez identitete. Praznega polja ne izpolnite s svojim e-naslovom samo zato, ker je videti nedokončano. Potrdite želeno vrednost in jo vnesite točno tako, kot je bila dana.

Petminutni pregled pred shranjevanjem

Pojdite jih po vrsti; prvi korak, ki spodleti, je tisti, ki ga je treba popraviti.

1. Pri upravljavcu pridobite tri nize: ime v strežnikovem potrdilu, pričakovani Local ID in metodo preverjanja.
2. Uskladite metodo preverjanja. Remote ID in Local ID ne nadomestita uporabniškega imena in gesla, profil s potrdilom pa ne bo sprejel gesla.
3. Vnesite vrednosti natančno, vključno z velikimi in malimi črkami, brez presledka na koncu.
4. Pustite preverjanje potrdil vključeno. Namestitev nepovezanega korenskega potrdila, da utišate opozorilo, skrije neskladje imena, namesto da bi ga odpravila.
5. Preizkusite na mobilnih podatkih, ne na pisarniškem Wi-Fi, da se ujeti portal ali razdeljeni DNS ne predstavljata kot težava z identiteto.

Preberite tabelo od zgoraj. Časovna omejitev v vrstici Server pomeni, da polji identitete nista bili nikoli preizkušeni, zato se tam ustavite. Napaka, ki se pojavi šele po odgovoru strežnika, je skoraj vedno neskladje Remote ID ali Local ID.

Napake, ki kažejo na napačno polje

Sporočilo, kot je "User authentication failed", se nanaša na poverilnice ali EAP, ne na Remote ID. Opozorilo o potrdilu se nanaša na ime v potrdilu, in tam se srečata Remote ID in polje Server. "The VPN server did not respond" običajno pomeni, da UDP 500 in 4500 nista bila nikoli dokončana ali da prehod NAT ni uspel, in da ni bila primerjana nobena identiteta.

Na strani prehoda so napake identitete videti drugače: partner je zavrnjen med IKE_AUTH ali dnevnik navede ID, ki ga je poslal odjemalec, in pove, da se ne ujema z nobeno povezavo. Tista vrstica dnevnika je najhitrejši način za razrešitev spora, ker prikaže točen niz, ki ga je poslal telefon.

Ponastavitev gesla ne bo popravila pričakovane identitete strežnika, sprememba Remote ID pa ne bo popravila napačnega gesla. Najprej ločite fazo, nato uredite polje, ki tej fazi pripada.

Ko je profil upravljan

Če so polja siva, je konfiguracija prišla iz MDM in telefon ni kraj, kjer bi to popravili. Tovor VPN nosi identifikatorje, zato je prava sprememba v profilu na strežniku za upravljanje, sledi pa ponovna namestitev v napravi.

V Nastavitve > Splošno > VPN in upravljanje naprav preverite, ali je profil upravljan in kdo ga je podpisal. Če ga ne morete odstraniti, identifikatorjev ne morete urejati lokalno, drugi lokalni profil pa ustvari le nasprotujočo si konfiguracijo.

Preden zaprete Nastavitve, zapišite tri nize, ki ste jih vnesli, in od kod prihajajo. Ko bo tunel naslednjič spodletel, primerjajte ID, ki ga je prejel dnevnik prehoda, s to opombo: če se razlikuje, gledate polje, ne geslo.