Remote ID у VPN-у на iPhone-у: шта то поље заиста значи

У Подешавањима додајете IKEv2 конфигурацију, а два поља траже текст који вам нико није дао: Remote ID и Local ID. Ниједно није ваше корисничко име, и ниједно није друга копија поља Server. Remote ID је идентитет који гејтвеј мора да докаже вашем iPhone-у; Local ID је идентитет који ваш iPhone тврди гејтвеју. Погрешите било које и тунел умире пошто је сервер већ одговорио, зато квар изгледа као проблем са лозинком, али није.

Где се поља налазе у iOS-у

Отворите Подешавања > Опште > VPN и управљање уређајима > VPN и додајте IKEv2 конфигурацију. Под Аутентификација бирате Корисничко име или Сертификат, и тек тада се Remote ID и Local ID појављују као поља слободног текста. То су идентификатори, не адресе: iOS их носи у IKE_AUTH размени, где IKEv2 идентитет иницијатора назива IDi, а идентитет одговорне стране IDr.

После чувања iOS савија конфигурацију у један ред и престаје да приказује вредности. Додирните дугме за информације или поново отворите профил пре него што закључите да су поља празна. Конфигурација послата преко MDM-а може их потпуно засивити, а то мења то ко може да поправи проблем.

Remote ID је име гејтвеја

Ово је вредност коју ваш iPhone очекује да сервер докаже. Код аутентификације сертификатом она се пореди са именом у сертификату сервера, обично subject или унос subjectAltName. Ако је сертификат издат за vpn.example.com, то име домаћина је Remote ID, чак и када до машине стижете преко голе IP адресе.

То неслагање је класичан квар: пакети стижу, сервер одговара, а веза се ипак руши јер идентитет у сертификату не одговара ономе што је профил захтевао. Усмеравање поља Server на сирову IP не помаже, а на многим гејтвејевима сервер једноставно престане да одговара идентитету који не може да упари.

Гејтвеј има одговарајуће подешавање. strongSwan сервер шаље сопствени идентитет са leftid и може да ограничи идентитет клијента са rightid; ако се две стране не сложе око низа, IKE_AUTH пада у оба смера. Питајте оператера за који је идентитет сертификат издат, уместо да преписујете URL из траке прегледача.

Apple документује кључеве терета као RemoteIdentifier и LocalIdentifier у референци за IKEv2 подешавања. Оба су обични низови, па величина слова и размак на крају могу бити важни.

Local ID је оно што ваш iPhone тврди

Код аутентификације корисничким именом EAP проверава име и лозинку, а Local ID је посебан IKE идентитет који неки гејтвејеви такође захтевају. Гејтвеј може да захтева да Local ID буде једнак корисничком имену, да буде е-пошта или да одговара уносу у његовој политици веза; други га игноришу. Оставити га празно безбедно је само када оператер тако каже.

Код аутентификације сертификатом Local ID треба да одговара идентитету који гејтвеј прихвата за тај клијентски сертификат, често заједничком имену сертификата или вредности повезаној са записом уређаја. Копирање профила колеге копира и његов идентитет. У најбољем случају гејтвеј забележи погрешан уређај, у најгорем политика по уређају вас одбија.

Замка је претпоставка да празно значи без идентитета. Не попуњавајте празно поље својом е-поштом само зато што изгледа недовршено. Потврдите жељену вредност и унесите је тачно како је дата.

Петоминутна провера пре чувања

Прођите их по реду; први корак који падне је онај који треба поправити.

1. Узмите три низа од оператера: име у сертификату сервера, очекивани Local ID и метод аутентификације.
2. Ускладите метод аутентификације. Remote ID и Local ID не замењују корисничко име и лозинку, а профил са сертификатом неће прихватити лозинку.
3. Унесите вредности тачно, укључујући велика и мала слова, без размака на крају.
4. Оставите проверу сертификата укључену. Инсталирање неповезаног коренског сертификата да утиша упозорење крије неслагање имена уместо да га поправи.
5. Тестирајте на мобилним подацима, не на канцеларијском Wi-Fi-ју, да се заробљени портал или подељени DNS не представе као проблем идентитета.

Читајте табелу одозго. Истек времена у реду Server значи да поља идентитета никада нису тестирана, зато застаните ту. Грешка која се појави само пошто је сервер одговорио готово је увек неслагање Remote ID или Local ID.

Грешке које показују на погрешно поље

Порука као "User authentication failed" тиче се акредитива или EAP-а, не Remote ID-а. Упозорење о сертификату тиче се имена у сертификату, и ту се срећу Remote ID и поље Server. "The VPN server did not respond" обично значи да UDP 500 и 4500 нису завршени или да NAT прелаз није успео, и да ниједан идентитет није упоређен.

На страни гејтвеја квар идентитета изгледа другачије: партнер се одбија током IKE_AUTH, или дневник наводи ID који је клијент послао и каже да не одговара ниједној вези. Та линија дневника је најбржи начин да се спор реши, јер показује тачан низ који је телефон послао.

Ресетовање лозинке неће поправити очекивани идентитет сервера, а промена Remote ID-а неће поправити погрешну лозинку. Прво одвојите фазу, затим уредите поље које тој фази припада.

Када се профилом управља

Ако су поља сива, конфигурација је дошла из MDM-а и телефон није место где се то поправља. VPN терет носи идентификаторе, па је исправна промена у профилу на серверу за управљање, након чега следи поновно инсталирање на уређају.

Проверите у Подешавања > Опште > VPN и управљање уређајима да ли се профилом управља и ко га је потписао. Ако не можете да га уклоните, не можете локално да уређујете идентификаторе, а други локални профил ствара само супротстављену конфигурацију.

Пре него што затворите Подешавања, запишите три низа која сте унели и одакле долазе. Следећи пут када тунел падне, упоредите ID добијен у дневнику гејтвеја са том белешком: ако се разликује, гледате у поље, не у лозинку.