iPhone کے VPN میں Remote ID: یہ فیلڈ اصل میں کیا معنی رکھتا ہے

آپ سیٹنگز میں IKEv2 کنفیگریشن شامل کر رہے ہیں، اور دو فیلڈ ایسا متن مانگ رہے ہیں جو کسی نے آپ کو نہیں دیا: Remote ID اور Local ID۔ ان میں سے کوئی بھی آپ کا صارف نام نہیں ہے، اور کوئی بھی Server فیلڈ کی دوسری نقل نہیں ہے۔ Remote ID وہ شناخت ہے جو گیٹ وے کو آپ کے iPhone پر ثابت کرنی ہوتی ہے؛ Local ID وہ شناخت ہے جس کا آپ کا iPhone گیٹ وے پر دعویٰ کرتا ہے۔ ان میں سے کوئی ایک بھی غلط ہوا تو سرور کے جواب دینے کے بعد ہی ٹنل مر جاتی ہے، اسی لیے یہ ناکامی پاس ورڈ کے مسئلے جیسی لگتی ہے، مگر ہے نہیں۔

iOS میں فیلڈ کہاں ہیں

سیٹنگز > عمومی > VPN اور ڈیوائس مینجمنٹ > VPN کھولیں اور IKEv2 کنفیگریشن شامل کریں۔ توثیق کے تحت آپ صارف نام یا سرٹیفکیٹ منتخب کرتے ہیں، اور اسی کے بعد Remote ID اور Local ID آزاد متن کے خانے بن کر ظاہر ہوتے ہیں۔ یہ شناخت کنندہ ہیں، پتے نہیں: iOS انہیں IKE_AUTH تبادلے میں لے جاتا ہے، جہاں IKEv2 آغاز کرنے والے کی شناخت کو IDi اور جواب دینے والے کی شناخت کو IDr کہتا ہے۔

محفوظ کرنے کے بعد iOS کنفیگریشن کو ایک سطر میں تہہ کر دیتا ہے اور اقدار دکھانا بند کر دیتا ہے۔ خانوں کے خالی ہونے کا نتیجہ اخذ کرنے سے پہلے معلومات کا بٹن دبائیں یا پروفائل دوبارہ کھولیں۔ MDM کی بھیجی ہوئی کنفیگریشن انہیں مکمل طور پر سرمئی کر سکتی ہے، اور یہ بدلتا ہے کہ مسئلہ کون درست کر سکتا ہے۔

Remote ID گیٹ وے کا نام ہے

یہ وہ قدر ہے جو آپ کا iPhone توقع کرتا ہے کہ سرور اسے ثابت کرے۔ سرٹیفکیٹ کے ذریعے توثیق میں اسے سرور کے سرٹیفکیٹ میں موجود نام سے موازنہ کیا جاتا ہے، عام طور پر subject یا subjectAltName اندراج سے۔ اگر سرٹیفکیٹ vpn.example.com کے لیے جاری ہوا ہے تو وہی ہوسٹ نام Remote ID ہے، چاہے آپ مشین تک محض IP پتے سے پہنچیں۔

یہی عدم مطابقت روایتی ناکامی ہے: پیکٹ آتے ہیں، سرور جواب دیتا ہے، اور پھر بھی کنکشن گر جاتا ہے کیونکہ سرٹیفکیٹ کی شناخت پروفائل کی مانگ سے میل نہیں کھاتی۔ Server فیلڈ کو خام IP کی طرف موڑنے سے مدد نہیں ملتی، اور بہت سے گیٹ ویز پر سرور ایسی شناخت کا جواب دینا ہی بند کر دیتا ہے جسے وہ ملاسکتا نہیں۔

گیٹ وے میں مطابق سیٹنگ ہوتی ہے۔ strongSwan سرور اپنی شناخت leftid کے ساتھ بھیجتا ہے اور کلائنٹ کی شناخت rightid سے محدود کر سکتا ہے؛ اگر دونوں فریق سٹرنگ پر متفق نہ ہوں تو IKE_AUTH دونوں سمتوں میں ناکام ہوتا ہے۔ براؤزر بار سے URL نقل کرنے کی بجائے آپریٹر سے پوچھیں کہ سرٹیفکیٹ کس شناخت کے لیے جاری ہوا تھا۔

Apple اپنے IKEv2 سیٹنگز حوالے میں پے لوڈ کیز کو RemoteIdentifier اور LocalIdentifier کے طور پر درج کرتا ہے۔ دونوں سادہ سٹرنگ ہیں، اس لیے حروف کا حجم اور آخر میں خالی جگہ اہم ہو سکتی ہے۔

Local ID وہ ہے جس کا آپ کا iPhone دعویٰ کرتا ہے

صارف نام کی توثیق میں EAP نام اور پاس ورڈ جانچتا ہے، اور Local ID ایک الگ IKE شناخت ہے جسے کچھ گیٹ ویز بھی لازم کرتے ہیں۔ گیٹ وے مطالبہ کر سکتا ہے کہ Local ID صارف نام کے برابر ہو، ای میل پتہ ہو، یا اس کی کنکشن پالیسی کے اندراج سے میل کھائے؛ دیگر اسے نظر انداز کرتے ہیں۔ اسے خالی چھوڑنا صرف اسی وقت محفوظ ہے جب آپریٹر ایسا کہے۔

سرٹیفکیٹ کے ذریعے توثیق میں Local ID کو اس شناخت سے میل کھانا چاہیے جو گیٹ وے اس کلائنٹ سرٹیفکیٹ کے لیے قبول کرتا ہے، اکثر سرٹیفکیٹ کا عام نام یا ڈیوائس ریکارڈ سے منسلک قدر۔ ساتھی کا پروفائل نقل کرنے سے اس کی شناخت بھی نقل ہو جاتی ہے۔ بہترین صورت میں گیٹ وے غلط ڈیوائس درج کرتا ہے؛ بدترین صورت میں فی ڈیوائس پالیسی آپ کو رد کر دیتی ہے۔

جال یہ ہے کہ خالی کو بے شناخت سمجھا جائے۔ محض ادھورا لگنے کی وجہ سے خالی خانے کو اپنے ای میل پتے سے نہ بھریں۔ مطلوبہ قدر کی تصدیق کریں اور اسے ویسے ہی درج کریں جیسے دیا گیا تھا۔

محفوظ کرنے سے پہلے پانچ منٹ کی جانچ

انہیں ترتیب سے مکمل کریں؛ پہلا ناکام مرحلہ ہی درست کرنے والا ہے۔

1. آپریٹر سے تین سٹرنگیں لیں: سرور کے سرٹیفکیٹ میں نام، متوقع Local ID اور توثیق کا طریقہ۔
2. توثیق کا طریقہ ملائیں۔ Remote ID اور Local ID صارف نام اور پاس ورڈ کا متبادل نہیں ہیں، اور سرٹیفکیٹ پروفائل پاس ورڈ قبول نہیں کرے گی۔
3. اقدار بالکل درج کریں، حروف کے حجم سمیت، آخر میں خالی جگہ کے بغیر۔
4. سرٹیفکیٹ کی تصدیق آن رکھیں۔ انتباہ خاموش کرنے کے لیے غیر متعلق روٹ سرٹیفکیٹ نصب کرنا نام کی عدم مطابقت درست کرنے کی بجائے چھپاتا ہے۔
5. دفتر کے Wi-Fi کی بجائے موبائل ڈیٹا پر آزمائیں، تاکہ کیپٹو پورٹل یا منقسم DNS شناخت کا مسئلہ دکھائی نہ دے۔

جدول اوپر سے پڑھیں۔ Server سطر میں ٹائم آؤٹ کا مطلب ہے کہ شناخت کے فیلڈ کبھی جانچے ہی نہیں گئے، اس لیے وہیں رکیں۔ صرف سرور کے جواب کے بعد ظاہر ہونے والی غلطی تقریباً ہمیشہ Remote ID یا Local ID کی عدم مطابقت ہوتی ہے۔

غلط فیلڈ کی طرف اشارہ کرنے والی غلطیاں

"User authentication failed" جیسا پیغام اسناد یا EAP کے بارے میں ہے، Remote ID کے بارے میں نہیں۔ سرٹیفکیٹ کی انتباہ سرٹیفکیٹ کے نام کے بارے میں ہے، اور وہیں Remote ID اور Server فیلڈ ملتے ہیں۔ "The VPN server did not respond" عام طور پر مطلب ہے کہ UDP 500 اور 4500 کبھی مکمل نہیں ہوئے، یا NAT عبور ناکام رہا، اور کوئی شناخت موازنہ نہیں ہوئی۔

گیٹ وے کی طرف شناخت کی ناکامیاں مختلف دکھتی ہیں: IKE_AUTH کے دوران ساتھی مسترد ہوتا ہے، یا لاگ کلائنٹ کی بھیجی ID کا نام لے کر کہتا ہے کہ یہ کسی کنکشن سے میل نہیں کھاتی۔ وہی لاگ سطر بحث طے کرنے کا تیز ترین طریقہ ہے، کیونکہ یہ فون کی بھیجی ہوئی عین سٹرنگ دکھاتی ہے۔

پاس ورڈ ری سیٹ کرنے سے متوقع سرور شناخت درست نہیں ہوتی، اور Remote ID بدلنے سے غلط پاس ورڈ درست نہیں ہوتا۔ پہلے مرحلہ الگ کریں، پھر اسی مرحلے کے فیلڈ میں ترمیم کریں۔

جب پروفائل زیر انتظام ہو

اگر فیلڈ سرمئی ہیں تو کنفیگریشن MDM سے آئی ہے اور فون اسے درست کرنے کی جگہ نہیں۔ VPN پے لوڈ شناخت کنندگان لے کر چلتا ہے، اس لیے درست تبدیلی مینجمنٹ سرور کے پروفائل میں ہے، اور پھر اسے ڈیوائس پر دوبارہ نصب کرنا ہے۔

سیٹنگز > عمومی > VPN اور ڈیوائس مینجمنٹ میں دیکھیں کہ پروفائل زیر انتظام ہے یا نہیں اور کس نے دستخط کیے۔ اگر آپ اسے ہٹا نہیں سکتے تو شناخت کنندگان مقامی طور پر تبدیل نہیں کر سکتے، اور دوسرا مقامی پروفائل صرف متضاد کنفیگریشن بناتا ہے۔

سیٹنگز بند کرنے سے پہلے وہ تین سٹرنگیں لکھ لیں جو آپ نے درج کیں اور وہ کہاں سے آئیں۔ اگلی بار ٹنل ناکام ہونے پر گیٹ وے لاگ میں موصول ID کا اس نوٹ سے موازنہ کریں: اگر مختلف ہو تو آپ پاس ورڈ نہیں، فیلڈ دیکھ رہے ہیں۔