Remote ID ใน VPN บน iPhone: ฟิลด์นี้หมายถึงอะไรจริง ๆ
Remote ID คือตัวตนที่เซิร์ฟเวอร์ต้องพิสูจน์ต่อ iPhone ของคุณ Local ID คือตัวตนที่ไคลเอนต์อ้าง สตริงใดอยู่ในฟิลด์ใดอยู่ที่นี่
คุณอยู่ใน Settings กำลังเพิ่มการตั้งค่า IKEv2 และมีสองฟิลด์ขอข้อความที่ไม่มีใครให้คุณมา: Remote ID และ Local ID ทั้งสองไม่ใช่ชื่อผู้ใช้ของคุณ และไม่ใช่สำเนาที่สองของฟิลด์ Server Remote ID คือตัวตนที่เกตเวย์ต้องพิสูจน์ต่อ iPhone ของคุณ Local ID คือตัวตนที่ iPhone ของคุณอ้างต่อเกตเวย์ ถ้าผิดอันใดอันหนึ่ง อุโมงค์จะตายหลังจากเซิร์ฟเวอร์ตอบไปแล้ว นั่นคือเหตุผลที่ความล้มเหลวดูเหมือนปัญห รหัสผ่าน แต่ไม่ใช่
ฟิลด์เหล่านี้อยู่ตรงไหนใน iOS
เปิด Settings > ทั่วไป > VPN และการจัดการอุปกรณ์ > VPN แล้วเพิ่มการตั้งค่า IKEv2 ภายใต้การพิสูจน์ตัวตน คุณเลือกชื่อผู้ใช้หรือใบรับรอง และหลังจากนั้น Remote ID กับ Local ID จึงปรากฏเป็นช่องข้อความอิสระ สิ่งเหล่านี้คือตัวระบุ ไม่ใช่ที่อยู่ iOS พาไปในการแลกเปลี่ยน IKE_AUTH ซึ่ง IKEv2 เรียกตัวตนของผู้เริ่มว่า IDi และตัวตนของผู้ตอบว่า IDr
หลังบันทึก iOS จะพับการตั้งค่าเป็นบรรทัดเดียวและหยุดแสดงค่า แตะปุ่มข้อมูลหรือเปิดโปรไฟล์อีกครั้งก่อนสรุปว่าฟิลด์ว่าง การตั้งค่าที่ MDM ผลักมาอาจทำให้เป็นสีเทาทั้งหมด และสิ่งนั้นเปลี่ยนว่าใครแก้ปัญหาได้
Remote ID คือชื่อของเกตเวย์
นี่คือค่าที่ iPhone ของคุณคาดว่าเซิร์ฟเวอร์จะพิสูจน์ ในการพิสูจน์ตัวตนด้วยใบรับรอง ค่านี้ ถูกนำไปเทียบกับชื่อในใบรับรองของเซิร์ฟเวอร์ ปกติคือ subject หรือรายการ subjectAltName ถ้าใบรับรองออกให้ vpn.example.com ชื่อโฮสต์นั้นคือ Remote ID แม้คุณจะเข้าถึงเครื่องด้วยที่อยู่ IP เปล่า ๆ
ความไม่ตรงกันนั้นคือความล้มเหลวแบบคลาสสิก แพ็กเก็ตมาถึง เซิร์ฟเวอร์ตอบ แต่การเชื่อมต่อก็ยังพังเพราะตัวตนในใบรับรองไม่ตรงกับที่โปรไฟล์กำหนด การชี้ฟิลด์ Server ไปที่ IP ดิบไม่ช่วย และบนเกตเวย์หลายตัวเซิร์ฟเวอร์ก็หยุดตอบตัวตนที่ไม่สามารถจับคู่ได้
เกตเวย์มีการตั้งค่าที่สอดคล้องกัน เซิร์ฟเวอร์ strongSwan ส่งตัวตนของตัวเองด้วย leftid และจำกัดตัวตนของไคลเอนต์ได้ด้วย rightid ถ้าสองฝ่ายไม่ตรงกันเรื่องสตริง IKE_AUTH จะล้มเหลวทั้งสองทิศทาง ถามผู้ดูแลว่าใบรับรองออกให้ตัวตนใด แทนที่จะคัดลอก URL จากแถบเบราว์เซอร์
Apple เอกสารคีย์ของเพย์โหลดว่า RemoteIdentifier และ LocalIdentifier ในเอกสารอ้างอิงการตั้งค่า IKEv2 ทั้งสองเป็นสตริงธรรมดา ตัวพิมพ์ใหญ่เล็กและช่องว่างท้ายจึงอาจสำคัญ
Local ID คือสิ่งที่ iPhone ของคุณอ้าง
ในการพิสูจน์ตัวตนด้วยชื่อผู้ใช้ EAP ตรวจชื่อและรหัสผ่าน และ Local ID เป็นตัวตน IKE แยกต่างหากที่เกตเวย์บางตัวบังคับด้วย เกตเวย์อาจกำหนดให้ Local ID เท่ากับชื่อผู้ใช้ เป็นอีเมล หรือตรงกับรายการในนโยบายการเชื่อมต่อ ตัวอื่นไม่สนใจ การเว้นว่างปลอดภัยเฉพาะเมื่อผู้ดูแลบอกเช่นนั้น
ในการพิสูจน์ตัวตนด้วยใบรับรอง Local ID ควรตรงกับตัวตนที่เกตเวย์ยอมรับสำหรับใบรับรองไคลเอนต์นั้น มักเป็นชื่อสามัญของใบรับรองหรือค่าที่ผูกกับบันทึกอุปกรณ์ การคัดลอกโปรไฟล์เพื่อนร่วมงานก็คัดลอกตัวตนของเขาด้วย อย่างดีเกตเวย์บันทึกอุปกรณ์ผิด อย่างแย่นโยบายต่ออุปกรณ์ปฏิเสธคุณ
กับดักคือการถือว่าว่างหมายถึงไม่มีตัวตน อย่าเติมฟิลด์ว่างด้วยอีเมลของคุณเพียงเพราะดูไม่สมบูรณ์ ยืนยันค่าที่ตั้งใจและป้อนให้ตรงตามที่ให้มา
การตรวจห้านาทีก่อนบันทึก
ทำตามลำดับ ขั้นแรกที่ล้มเหลวคือขั้นที่ต้องแก้
- ขอสามสตริงจากผู้ดูแล ชื่อในใบรับรองของเซิร์ฟเวอร์ Local ID ที่คาดไว้ และวิธีการพิสูจน์ตัวตน
- จับคู่วิธีพิสูจน์ตัวตน Remote ID และ Local ID ไม่ได้แทนชื่อผู้ใช้กับรหัสผ่าน และโปรไฟล์ใบรับรองจะไม่รับรหัสผ่าน
- พิมพ์ค่าให้ตรง รวมตัวพิมพ์ใหญ่เล็ก โดยไม่มีช่องว่างท้าย
- เปิดการตรวจสอบใบรับรองไว้ การติดตั้งใบรับรองรากที่ไม่เกี่ยวข้องเพื่อปิดคำเตือนเป็นการซ่อนความไม่ตรงกันของชื่อแทนการแก้
- ทดสอบด้วยข้อมูลมือถือ ไม่ใช่ Wi-Fi ของออฟฟิศ เพื่อให้พอร์ทัลกักกันหรือ DNS แยกไม่แสร้งเป็นปัญหาตัวตน
| Field | What belongs there | What a wrong value looks like |
|---|---|---|
| Remote ID | The DNS name in the gateway certificate | Server answers, then the tunnel drops with a certificate or identity error |
| Local ID | The identity the gateway policy expects for you | IKE_AUTH or user authentication fails after the server responds |
| Server | A reachable hostname or IP | Timeout with no identity exchange at all |
อ่านตารางจากบนลงล่าง หมดเวลาในแถว Server หมายถึงฟิลด์ตัวตนไม่เคยถูกทดสอบ จึงหยุดตรงนั้น ข้อผิดพลาดที่ปรากฏหลังเซิร์ฟเวอร์ตอบเกือบทุกครั้ง คือความไม่ตรงกันของ Remote ID หรือ Local ID
ข้อผิดพลาดที่ชี้ไปยังฟิลด์ผิด
ข้อความอย่าง "User authentication failed" เกี่ยวกับข้อมูลรับรองหรือ EAP ไม่ใช่ Remote ID คำเตือนใบรับรองเกี่ยวกับชื่อในใบรับรอง และนั่นคือจุดที่ Remote ID กับฟิลด์ Server บรรจบกัน "The VPN server did not respond" มักหมายถึง UDP 500 และ 4500 ไม่เคยสำเร็จ หรือการทะลุ NAT ล้มเหลว และไม่มีตัวตนใดถูกเทียบ
ฝั่งเกตเวย์ ความล้มเหลวของตัวตนดูต่างออกไป peer ถูกปฏิเสธระหว่าง IKE_AUTH หรือบันทึกระบุ ID ที่ไคลเอนต์ส่งมาและบอกว่าไม่ตรงกับการเชื่อมต่อใด บรรทัดบันทึกนั้นคือวิธีที่เร็วที่สุดในการยุติข้อโต้แย้ง เพราะแสดงสตริงที่โทรศัพท์ส่งมาจริง ๆ
การรีเซ็ตรหัสผ่านไม่ซ่อมตัวตนเซิร์ฟเวอร์ที่คาดไว้ และการเปลี่ยน Remote ID ไม่ซ่อมรหัสผ่านที่ผิด แยกขั้นตอนก่อน แล้วแก้ฟิลด์ที่เป็นของขั้นนั้น
เมื่อโปรไฟล์ถูกจัดการ
ถ้าฟิลด์เป็นสีเทา การตั้งค่ามาจาก MDM และโทรศัพท์ไม่ใช่ที่แก้ เพย์โหลด VPN พาตัวระบุไป ดังนั้นการเปลี่ยนที่ถูกต้องอยู่ที่โปรไฟล์บนเซิร์ฟเวอร์จัดการ แล้วติดตั้งใหม่บนอุปกรณ์
ตรวจใน Settings > ทั่วไป > VPN และการจัดการอุปกรณ์ ว่าโปรไฟล์ถูกจัดการหรือไม่ และใครลงนาม ถ้าลบไม่ได้ก็แก้ตัวระบุในเครื่องไม่ได้ และโปรไฟล์ในเครื่องที่สองสร้างเพียงการตั้งค่าที่ขัดแย้ง
ก่อนปิด Settings จดสามสตริงที่คุณป้อนและที่มา ครั้งถัดไปที่อุโมงค์ล้มเหลว ให้เทียบ ID ที่บันทึกเกตเวย์ได้รับกับบันทึกนั้น ถ้าแตกต่าง คุณกำลังดูฟิลด์ ไม่ใช่รหัสผ่าน