Remote ID trong VPN trên iPhone: trường này thực sự có nghĩa gì

Bạn đang ở Cài đặt, thêm một cấu hình IKEv2, và hai trường đòi một đoạn văn bản mà không ai đưa cho bạn: Remote ID và Local ID. Cả hai đều không phải tên người dùng của bạn, và cả hai đều không phải bản sao thứ hai của trường Server. Remote ID là danh tính mà cổng phải chứng minh với iPhone của bạn; Local ID là danh tính mà iPhone của bạn tự nhận với cổng. Sai một trong hai là đường hầm chết sau khi máy chủ đã trả lời, vì thế lỗi trông giống vấn đề mật khẩu nhưng không phải.

Các trường nằm ở đâu trong iOS

Mở Cài đặt > Cài đặt chung > VPN và quản lý thiết bị > VPN rồi thêm một cấu hình IKEv2. Trong mục Xác thực, bạn chọn Tên người dùng hoặc Chứng chỉ, và chỉ khi đó Remote ID và Local ID mới hiện ra dưới dạng ô văn bản tự do. Đây là các định danh, không phải địa chỉ: iOS mang chúng trong trao đổi IKE_AUTH, nơi IKEv2 gọi danh tính của bên khởi tạo là IDi và của bên trả lời là IDr.

Sau khi lưu, iOS gấp cấu hình thành một dòng và không hiển thị giá trị nữa. Chạm vào nút thông tin hoặc mở lại hồ sơ trước khi kết luận các trường đang trống. Một cấu hình do MDM đẩy xuống có thể làm chúng xám hoàn toàn, và điều đó thay đổi ai có thể sửa được vấn đề.

Remote ID là tên của cổng

Đây là giá trị mà iPhone của bạn mong máy chủ chứng minh. Với xác thực bằng chứng chỉ, giá trị này được so với tên trong chứng chỉ của máy chủ, thường là subject hoặc một mục subjectAltName. Nếu chứng chỉ được cấp cho vpn.example.com, tên máy chủ đó chính là Remote ID, kể cả khi bạn đến máy bằng một địa chỉ IP trần.

Chính sự không khớp đó là lỗi kinh điển: gói tin đến, máy chủ trả lời, mà kết nối vẫn sụp vì danh tính trong chứng chỉ không khớp với điều hồ sơ yêu cầu. Trỏ trường Server vào IP thô không giúp gì, và trên nhiều cổng máy chủ đơn giản là ngừng trả lời một danh tính mà nó không khớp được.

Cổng có một thiết lập tương ứng. Máy chủ strongSwan gửi danh tính của chính nó bằng leftid và có thể giới hạn danh tính của máy khách bằng rightid; nếu hai bên không thống nhất về chuỗi, IKE_AUTH thất bại theo cả hai chiều. Hãy hỏi người vận hành chứng chỉ được cấp cho danh tính nào thay vì sao chép URL từ thanh địa chỉ.

Apple ghi lại các khóa của tải trọng là RemoteIdentifier và LocalIdentifier trong tài liệu tham chiếu cài đặt IKEv2. Cả hai là chuỗi thường, nên chữ hoa chữ thường và dấu cách ở cuối có thể quan trọng.

Local ID là điều iPhone của bạn tự nhận

Với xác thực bằng tên người dùng, EAP kiểm tra tên và mật khẩu, còn Local ID là một danh tính IKE riêng mà một số cổng cũng bắt buộc. Cổng có thể yêu cầu Local ID bằng tên người dùng, là địa chỉ email, hoặc khớp với một mục trong chính sách kết nối của nó; những cổng khác bỏ qua. Để trống chỉ an toàn khi người vận hành nói vậy.

Với xác thực bằng chứng chỉ, Local ID phải khớp với một danh tính mà cổng chấp nhận cho chứng chỉ máy khách đó, thường là tên chung của chứng chỉ hoặc một giá trị ánh xạ tới bản ghi thiết bị. Sao chép hồ sơ của đồng nghiệp cũng sao chép danh tính của họ. Trong trường hợp tốt nhất cổng ghi nhật ký sai thiết bị; tệ nhất là một chính sách theo từng thiết bị từ chối bạn.

Cái bẫy là cho rằng trống nghĩa là không có danh tính. Đừng điền địa chỉ email của bạn vào ô trống chỉ vì nó trông chưa xong. Hãy xác nhận giá trị dự định và nhập đúng như đã được đưa.

Kiểm tra năm phút trước khi lưu

Làm theo thứ tự; bước đầu tiên thất bại là bước cần sửa.

1. Lấy ba chuỗi từ người vận hành: tên trong chứng chỉ máy chủ, Local ID mong đợi và phương thức xác thực.
2. Khớp phương thức xác thực. Remote ID và Local ID không thay thế tên người dùng và mật khẩu, và hồ sơ chứng chỉ sẽ không nhận mật khẩu.
3. Nhập giá trị chính xác, kể cả chữ hoa chữ thường, không có dấu cách ở cuối.
4. Để bật xác thực chứng chỉ. Cài một chứng chỉ gốc không liên quan để tắt cảnh báo là che giấu sự không khớp tên chứ không sửa nó.
5. Thử bằng dữ liệu di động, không phải Wi-Fi văn phòng, để cổng bắt giữ hoặc DNS phân tách không giả dạng vấn đề danh tính.

Đọc bảng từ trên xuống. Hết thời gian ở hàng Server nghĩa là các trường danh tính chưa từng được thử, nên dừng ở đó. Lỗi chỉ xuất hiện sau khi máy chủ trả lời gần như luôn là sự không khớp Remote ID hoặc Local ID.

Lỗi chỉ vào sai trường

Một thông báo như "User authentication failed" nói về thông tin đăng nhập hoặc EAP, không phải Remote ID. Cảnh báo chứng chỉ nói về tên trong chứng chỉ, và đó là nơi Remote ID gặp trường Server. "The VPN server did not respond" thường có nghĩa UDP 500 và 4500 chưa bao giờ hoàn tất, hoặc NAT traversal thất bại, và không danh tính nào được so sánh.

Về phía cổng, lỗi danh tính trông khác: peer bị từ chối trong IKE_AUTH, hoặc nhật ký nêu ID mà máy khách đã gửi và nói rằng nó không khớp với kết nối nào. Dòng nhật ký đó là cách nhanh nhất để phân xử, vì nó cho thấy chuỗi chính xác mà điện thoại đã gửi.

Đặt lại mật khẩu sẽ không sửa được danh tính máy chủ mong đợi, và đổi Remote ID sẽ không sửa được mật khẩu sai. Hãy tách giai đoạn trước, rồi sửa trường thuộc giai đoạn đó.

Khi hồ sơ được quản lý

Nếu các trường xám, cấu hình đến từ MDM và điện thoại không phải nơi sửa. Tải trọng VPN mang các định danh, nên thay đổi đúng nằm trong hồ sơ trên máy chủ quản lý, sau đó cài lại trên thiết bị.

Kiểm tra trong Cài đặt > Cài đặt chung > VPN và quản lý thiết bị xem hồ sơ có được quản lý không và ai đã ký. Nếu không xóa được, bạn không thể sửa định danh cục bộ, và hồ sơ cục bộ thứ hai chỉ tạo ra cấu hình xung đột.

Trước khi đóng Cài đặt, hãy ghi lại ba chuỗi bạn đã nhập và nơi chúng đến. Lần tới khi đường hầm lỗi, so ID mà nhật ký cổng nhận được với ghi chú đó: nếu khác, bạn đang xem trường, không phải mật khẩu.