Remote ID në VPN në iPhone: çfarë do të thotë në të vërtetë ai fushë
Remote ID është identiteti që serveri duhet t’i vërtetojë iPhone-it tuaj; Local ID është identiteti që pretendon klienti. Këtu është cila varg shkon në cilën fushë.
Jeni në Cilësimet duke shtuar një konfigurim IKEv2, dhe dy fusha kërkojnë tekst që askush nuk jua ka dhënë: Remote ID dhe Local ID. Asnjëra nuk është emri juaj i përdoruesit, dhe asnjëra nuk është një kopje e dytë e fushës Server. Remote ID është identiteti që porta duhet t’i vërtetojë iPhone-it tuaj; Local ID është identiteti që iPhone-i juaj pretendon ndaj portës. Gaboni në njërën prej tyre dhe tuneli vdes pasi serveri tashmë ka përgjigjur, prandaj dështimi duket si problem fjalëkalimi pa qenë.
Ku ndodhen fushat në iOS
Hapni Cilësimet > Të përgjithshme > VPN dhe menaxhimi i pajisjeve > VPN dhe shtoni një konfigurim IKEv2. Nën Vërtetimi zgjidhni Emrin e përdoruesit ose Certifikatën, dhe vetëm atëherë Remote ID dhe Local ID shfaqen si kuti teksti të lirë. Janë identifikues, jo adresa: iOS i mbart në shkëmbimin IKE_AUTH, ku IKEv2 e quan identitetin e iniciatorit IDi dhe atë të përgjigjësit IDr.
Pas ruajtjes, iOS e palos konfigurimin në një rresht të vetëm dhe nuk i shfaq më vlerat. Prekni butonin e informacionit ose hapni profilin përsëri përpara se të konkludoni që fushat janë bosh. Një konfigurim i shtyrë nga MDM mund t’i bëjë plotësisht gri, dhe kjo ndryshon se kush mund ta rregullojë problemin.
Remote ID është emri i portës
Kjo është vlera që iPhone-i juaj pret që serveri ta vërtetojë. Me vërtetim me certifikatë ajo krahasohet me emrin në certifikatën e serverit, zakonisht subject ose një zë subjectAltName. Nëse certifikata është lëshuar për vpn.example.com, ai emër hosti është Remote ID, edhe kur arrini te makina me një adresë IP të zhveshur.
Kjo mospërputhje është dështimi klasik: paketat mbërrijnë, serveri përgjigjet, dhe lidhja prapëseprapë rrëzohet sepse identiteti në certifikatë nuk përputhet me atë që kërkonte profili. Tregimi i fushës Server drejt IP-së së papërpunuar nuk ndihmon, dhe në shumë porta serveri thjesht ndalon së përgjigjuri një identiteti që nuk arrin ta përputhë.
Porta ka një cilësim përkatës. Një server strongSwan dërgon identitetin e vet me leftid dhe mund të kufizojë identitetin e klientit me rightid; nëse dy palët nuk bien dakord për vargun, IKE_AUTH dështon në të dy drejtimet. Pyetni operatorin për cilin identitet u lëshua certifikata, në vend që të kopjoni URL-në nga shiriti i shfletuesit.
Apple i dokumenton çelësat e ngarkesës si RemoteIdentifier dhe LocalIdentifier në referencën e cilësimeve IKEv2. Të dy janë vargje të thjeshta, prandaj shkronjat e mëdha e të vogla dhe një hapësirë në fund mund të kenë rëndësi.
Local ID është ajo që pretendon iPhone-i juaj
Me vërtetim me emër përdoruesi, EAP kontrollon emrin dhe fjalëkalimin, dhe Local ID është një identitet IKE i veçantë që disa porta e imponojnë gjithashtu. Një portë mund të kërkojë që Local ID të jetë i barabartë me emrin e përdoruesit, të jetë adresë email ose të përputhet me një zë në politikën e saj të lidhjeve; të tjerat e injorojnë. Lënia bosh është e sigurt vetëm kur operatori e thotë.
Me vërtetim me certifikatë, Local ID duhet të përputhet me një identitet që porta e pranon për atë certifikatë klienti, shpesh emrin e përbashkët të certifikatës ose një vlerë të lidhur me një regjistrim pajisjeje. Kopjimi i profilit të një kolegu kopjon edhe identitetin e tij. Në rastin më të mirë porta regjistron pajisjen e gabuar; në rastin më të keq një politikë për çdo pajisje ju refuzon.
Kurthi është të supozoni që bosh do të thotë pa identitet. Mos e mbushni një fushë bosh me adresën tuaj email vetëm se duket e papërfunduar. Konfirmoni vlerën e synuar dhe vendoseni saktësisht siç është dhënë.
Një kontroll pesë minutash përpara ruajtjes
Kaloji sipas radhës; hapi i parë që dështon është ai që duhet rregulluar.
- Merrni tre vargje nga operatori: emrin në certifikatën e serverit, Local ID e pritur dhe metodën e vërtetimit.
- Përputhni metodën e vërtetimit. Remote ID dhe Local ID nuk zëvendësojnë emrin e përdoruesit dhe fjalëkalimin, dhe një profil me certifikatë nuk do të pranojë fjalëkalim.
- Shkruani vlerat saktësisht, përfshirë shkronjat e mëdha e të vogla, pa hapësirë në fund.
- Lëreni vërtetimin e certifikatave të aktivizuar. Instalimi i një certifikate rrënjësore të palidhur për të heshtur një paralajmërim fsheh një mospërputhje emri në vend që ta rregullojë.
- Testoni me të dhëna celulare, jo me Wi-Fi-n e zyrës, që një portal robërues ose DNS i ndarë të mos hiqen si problem identiteti.
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
Lexoni tabelën nga lart. Një kohë e skaduar në rreshtin Server do të thotë që fushat e identitetit nuk u testuan kurrë, ndaj ndaloni aty. Një gabim që shfaqet vetëm pas përgjigjes së serverit është pothuajse gjithmonë një mospërputhje Remote ID ose Local ID.
Gabime që tregojnë fushën e gabuar
Një mesazh si "User authentication failed" ka të bëjë me kredencialet ose EAP, jo me Remote ID. Një paralajmërim certifikate ka të bëjë me emrin në certifikatë, dhe aty takohen Remote ID dhe fusha Server. "The VPN server did not respond" zakonisht do të thotë që UDP 500 dhe 4500 nuk u përfunduan kurrë, ose që kalimi NAT dështoi, dhe se asnjë identitet nuk u krahasua.
Në anën e portës, dështimet e identitetit duken ndryshe: partneri refuzohet gjatë IKE_AUTH, ose regjistri përmend ID-në që dërgoi klienti dhe thotë se nuk përputhet me asnjë lidhje. Ai rresht regjistri është mënyra më e shpejtë për ta zgjidhur mosmarrëveshjen, sepse tregon vargun e saktë që dërgoi telefoni.
Rivendosja e fjalëkalimit nuk rregullon një identitet serveri të pritur, dhe ndryshimi i Remote ID nuk rregullon një fjalëkalim të gabuar. Ndani fillimisht fazën, pastaj modifikoni fushën që i përket asaj faze.
Kur profili menaxhohet
Nëse fushat janë gri, konfigurimi erdhi nga MDM dhe telefoni nuk është vendi për ta rregulluar. Ngarkesa VPN mbart identifikuesit, prandaj ndryshimi i saktë është në profilin në serverin e menaxhimit, i ndjekur nga riinstalimi në pajisje.
Kontrolloni në Cilësimet > Të përgjithshme > VPN dhe menaxhimi i pajisjeve nëse profili menaxhohet dhe kush e ka nënshkruar. Nëse nuk mund ta hiqni, nuk mund t’i modifikoni identifikuesit lokalisht, dhe një profil i dytë lokal krijon vetëm një konfigurim konfliktual.
Përpara se të mbyllni Cilësimet, shkruani tre vargjet që keni futur dhe nga kanë ardhur. Herën tjetër që tuneli dështon, krahasojeni ID-në e marrë në regjistrin e portës me atë shënim: nëse ndryshon, po shikoni fushën, jo fjalëkalimin.