iPhone'da VPN'deki Remote ID: bu alan aslında ne anlama geliyor

Ayarlar'da bir IKEv2 yapılandırması ekliyorsunuz ve iki alan kimsenin size vermediği bir metin istiyor: Remote ID ve Local ID. İkisi de kullanıcı adınız değil ve ikisi de Server alanının ikinci kopyası değil. Remote ID, ağ geçidinin iPhone'unuza kanıtlaması gereken kimliktir; Local ID, iPhone'unuzun ağ geçidine iddia ettiği kimliktir. Herhangi birini yanlış yaparsanız tünel, sunucu zaten yanıt verdikten sonra ölür; bu yüzden hata parola sorunu gibi görünür ama değildir.

Alanlar iOS'ta nerede

Ayarlar > Genel > VPN ve Aygıt Yönetimi > VPN yolunu açın ve bir IKEv2 yapılandırması ekleyin. Kimlik Doğrulama altında Kullanıcı Adı veya Sertifika seçersiniz ve ancak o zaman Remote ID ile Local ID serbest metin kutusu olarak görünür. Bunlar tanımlayıcıdır, adres değil: iOS bunları IKE_AUTH takasında taşır; IKEv2 başlatanın kimliğini IDi, yanıtlayanın kimliğini IDr olarak adlandırır.

Kaydettikten sonra iOS yapılandırmayı tek satıra katlar ve değerleri göstermeyi bırakır. Alanların boş olduğu sonucuna varmadan önce bilgi düğmesine dokunun veya profili yeniden açın. MDM tarafından gönderilen bir yapılandırma bunları tamamen grileştirebilir ve bu, sorunu kimin düzeltebileceğini değiştirir.

Remote ID ağ geçidinin adıdır

Bu, iPhone'unuzun sunucunun kanıtlamasını beklediği değerdir. Sertifikayla kimlik doğrulamada bu değer sunucu sertifikasındaki adla karşılaştırılır, genellikle subject veya bir subjectAltName girdisi. Sertifika vpn.example.com için verilmişse, çıplak bir IP adresiyle makineye ulaşsanız bile o ana bilgisayar adı Remote ID'dir.

Bu uyuşmazlık klasik hatadır: paketler gelir, sunucu yanıt verir ve bağlantı yine de çöker çünkü sertifikadaki kimlik profilin istediğiyle eşleşmez. Server alanını ham IP'ye yöneltmek yardımcı olmaz ve birçok ağ geçidinde sunucu eşleştiremediği bir kimliğe yanıt vermeyi bırakır.

Ağ geçidinin karşılık gelen bir ayarı vardır. strongSwan sunucusu kendi kimliğini leftid ile gönderir ve istemci kimliğini rightid ile sınırlayabilir; iki taraf dizede anlaşamazsa IKE_AUTH her iki yönde başarısız olur. Tarayıcı çubuğundan URL kopyalamak yerine operatöre sertifikanın hangi kimlik için verildiğini sorun.

Apple, yük anahtarlarını RemoteIdentifier ve LocalIdentifier olarak IKEv2 ayarları başvurusunda belgeler. İkisi de sıradan dizelerdir, bu yüzden büyük küçük harf ve sondaki boşluk önemli olabilir.

Local ID, iPhone'unuzun iddia ettiği şeydir

Kullanıcı adıyla kimlik doğrulamada EAP adı ve parolayı denetler ve Local ID, bazı ağ geçitlerinin de zorunlu tuttuğu ayrı bir IKE kimliğidir. Bir ağ geçidi Local ID'nin kullanıcı adına eşit olmasını, bir e-posta adresi olmasını veya bağlantı ilkesindeki bir girdiyle eşleşmesini isteyebilir; diğerleri bunu yok sayar. Boş bırakmak yalnızca operatör öyle dediğinde güvenlidir.

Sertifikayla kimlik doğrulamada Local ID, ağ geçidinin o istemci sertifikası için kabul ettiği bir kimlikle eşleşmelidir; çoğu zaman sertifikanın ortak adı veya bir aygıt kaydına eşlenen bir değer. Bir iş arkadaşınızın profilini kopyalamak onun kimliğini de kopyalar. En iyi durumda ağ geçidi yanlış aygıtı kaydeder, en kötü durumda aygıt başına ilke sizi reddeder.

Tuzak, boşun kimlik yok anlamına geldiğini varsaymaktır. Bir alanı yalnızca yarım kalmış göründüğü için e-posta adresinizle doldurmayın. Amaçlanan değeri doğrulayın ve verildiği şekilde tam olarak girin.

Kaydetmeden önce beş dakikalık denetim

Bunları sırayla tamamlayın; ilk başarısız olan adım düzeltilmesi gerekendir.

1. Operatörden üç dize alın: sunucu sertifikasındaki ad, beklenen Local ID ve kimlik doğrulama yöntemi.
2. Kimlik doğrulama yöntemini eşleştirin. Remote ID ve Local ID kullanıcı adı ile parolanın yerini tutmaz ve sertifika profili parolayı kabul etmez.
3. Değerleri tam olarak yazın, büyük küçük harf dahil, sonda boşluk olmadan.
4. Sertifika doğrulamasını açık bırakın. Bir uyarıyı susturmak için ilgisiz bir kök sertifika kurmak, ad uyuşmazlığını düzeltmek yerine gizler.
5. Ofis Wi-Fi'sinde değil mobil veride test edin, böylece yakalama portalı veya bölünmüş DNS kimlik sorunu gibi görünmez.

Tabloyu yukarıdan okuyun. Server satırında zaman aşımı, kimlik alanlarının hiç test edilmediği anlamına gelir; orada durun. Yalnızca sunucu yanıt verdikten sonra görünen hata neredeyse her zaman Remote ID veya Local ID uyuşmazlığıdır.

Yanlış alanı işaret eden hatalar

"User authentication failed" gibi bir mesaj kimlik bilgileri veya EAP ile ilgilidir, Remote ID ile değil. Sertifika uyarısı sertifikadaki adla ilgilidir ve tam orada Remote ID ile Server alanı buluşur. "The VPN server did not respond" genellikle UDP 500 ve 4500'ün hiç tamamlanmadığı veya NAT geçişinin başarısız olduğu ve hiçbir kimliğin karşılaştırılmadığı anlamına gelir.

Ağ geçidi tarafında kimlik hataları farklı görünür: eş, IKE_AUTH sırasında reddedilir veya günlük istemcinin gönderdiği ID'yi adlandırır ve hiçbir bağlantıyla eşleşmediğini söyler. O günlük satırı tartışmayı çözmenin en hızlı yoludur, çünkü telefonun gönderdiği tam dizeyi gösterir.

Parola sıfırlamak beklenen sunucu kimliğini onarmaz ve Remote ID'yi değiştirmek yanlış parolayı onarmaz. Önce aşamayı ayırın, sonra o aşamaya ait alanı düzenleyin.

Profil yönetildiğinde

Alanlar griyse yapılandırma MDM'den gelmiştir ve telefon bunu düzeltilecek yer değildir. VPN yükü tanımlayıcıları taşır, bu yüzden doğru değişiklik yönetim sunucusundaki profildedir; ardından aygıtta yeniden kurulur.

Ayarlar > Genel > VPN ve Aygıt Yönetimi bölümünde profilin yönetilip yönetilmediğini ve kimin imzaladığını denetleyin. Kaldıramıyorsanız tanımlayıcıları yerel olarak düzenleyemezsiniz ve ikinci bir yerel profil yalnızca çelişkili bir yapılandırma oluşturur.

Ayarlar'ı kapatmadan önce girdiğiniz üç dizeyi ve nereden geldiklerini not edin. Tünel bir sonraki kez başarısız olduğunda ağ geçidi günlüğünde alınan ID'yi o notla karşılaştırın: farklıysa parolaya değil alana bakıyorsunuz.