IKEv2 на iPhone: что вводить в поля «Сервер», «Удалённый ID» и «Локальный ID»

Короткий ответ: в «Сервер» обычно вводят доменное имя или IP вашего VPN‑сервера; в «Удалённый ID» — идентификатор, который должен совпадать с тем, что ожидает сервер (часто это доменное имя, указанное в сертификате сервера); в «Локальный ID» — идентификатор клиента, который сервер использует для сопоставления правил (часто оставляют пустым или задают имя пользователя/ID, выданный провайдером). Точные значения всегда берите у своего провайдера/админа: подстановка «наугад» — частая причина ошибки проверки сертификата или отказа в подключении.

Что означают поля IKEv2 в iOS и зачем они нужны

В IKEv2 (IPsec) стороны обмениваются параметрами и подтверждают личности. На iPhone вы видите три поля, которые чаще всего вызывают вопросы:

• Сервер — куда подключаться (адрес VPN‑шлюза).
• Удалённый ID (Remote ID) — «как я проверяю сервер»; это строка, по которой iOS сопоставляет сервер с его удостоверением (как правило — с данными в сертификате сервера).
• Локальный ID (Local ID) — «как сервер распознаёт меня»; идентификатор клиента, который сервер может проверять/использовать в правилах.

Эти значения участвуют в проверке подлинности. Если они не согласованы с настройками сервера и сертификатом, iOS может не доверять серверу или сервер отвергнет клиента. Для дополнительной проверки логики идентификаторов и аутентификации можно свериться с документацией Apple по IKEv2/IPsec: Apple: IKEv2 device management settings.

Поле «Сервер»: домен или IP и как понять, что вводить

Что вводят чаще всего

• Доменное имя (FQDN) вида vpn.example.com — распространённый вариант, удобен при смене IP и для корректной работы сертификатов.
• IP‑адрес — иногда используется для быстрых тестов или когда домена нет. Но при проверке сертификата всё равно важен «Удалённый ID».

Диагностика перед действиями

• Уточните у провайдера, предполагается ли подключение по доменному имени или по IP. Если провайдер выдал домен и сертификат — обычно лучше использовать домен.
• Если вы используете IP, проверьте, не меняется ли он (например, у домашнего/динамического адреса). Частые смены IP могут выглядеть как «то работает, то нет».

Безопасные действия (обратимые)

• Если вы не уверены — начните с того значения, которое указано в инструкции провайдера. При ошибках не отключайте проверку сертификата и не переходите на «непроверенные» варианты — лучше уточнить правильный адрес.
• Если провайдер дал и домен, и IP: попробуйте домен в «Сервер», а IP используйте только как временную диагностику (и затем верните домен).

«Удалённый ID»: ключ к проверке сертификата и типовые варианты

«Удалённый ID» — одна из самых частых причин ошибок, потому что iOS сравнивает его с тем, чем «представляется» сервер при аутентификации. В сценариях с сертификатом это обычно завязано на имя в сертификате сервера.

Типовые значения «Удалённого ID»

• Доменное имя VPN (например, vpn.example.com) — самый распространённый и понятный вариант.
• Строка‑идентификатор (например, ikev2.example.com или gateway-id) — встречается, когда провайдер хочет отделить «адрес подключения» от «имени в удостоверении».
• IP‑адрес — иногда допускается, но чаще приводит к проблемам, если сертификат выпущен на домен, а не на IP.

Диагностика: как понять, что именно ожидается

• Посмотрите, что написал провайдер в параметрах IKEv2: иногда «Remote ID» указан отдельно от «Server».
• Если у вас есть профиль конфигурации (.mobileconfig) или текстовая конфигурация провайдера — там «Remote ID» обычно задан явно. Если вы вводите данные вручную, старайтесь повторить эти значения.
• Если подключение падает с ошибкой доверия/сертификата, одна из вероятных причин — несоответствие «Удалённого ID» имени в сертификате.

Безопасные действия (обратимые)

• Если вы использовали IP в «Удалённом ID», попробуйте заменить на доменное имя, которое выдал провайдер (и затем, при необходимости, вернуть назад).
• Если «Сервер» у вас = IP, а провайдер выдал домен для идентификации: оставьте IP в «Сервер», но в «Удалённый ID» поставьте домен (ровно как выдано), чтобы проверка сертификата проходила по ожидаемому имени.
• Если провайдер дал отдельный «Remote ID» (строку, не совпадающую с доменом), используйте именно её, даже если это выглядит непривычно.

«Локальный ID»: когда оставлять пустым, а когда задавать явно

«Локальный ID» описывает, каким идентификатором вы представляете клиентскую сторону. В одних конфигурациях он не нужен, в других — критичен (например, когда сервер различает пользователей/профили не только по имени пользователя, но и по ID).

Типовые варианты «Локального ID»

• Пусто — частый вариант, если серверу достаточно имени пользователя/пароля (EAP) или сертификата клиента.
• Имя пользователя — иногда просят указать в «Локальном ID» тот же логин, который используется для EAP.
• Отдельный идентификатор (строка) — если провайдер выдаёт явный «Local ID», например client123 или user@realm.

Диагностика перед изменениями

• Если сервер возвращает отказ (а не ошибку доверия сертификату), и провайдер в параметрах упоминал Local ID — проверьте, не оставили ли вы поле пустым.
• Если у вас несколько профилей/пользователей и один работает, другой нет — сравните, заполнено ли поле «Локальный ID».

Безопасные действия (обратимые)

• Если провайдер не выдавал Local ID, начните с пустого поля. Это проще откатить и не создаёт лишних несоответствий.
• Если провайдер выдал конкретный Local ID — введите его точно (регистр и символы важны). Если не помогло, верните поле к исходному состоянию и уточните формат у провайдера.

Тип аутентификации в IKEv2 на iPhone и почему он связан с ID

На iOS для IKEv2 обычно встречаются два подхода аутентификации:

• По имени пользователя/паролю (EAP) — вы вводите учётные данные, а сервер подтверждает вашу личность. При этом сервер почти всегда использует сертификат, чтобы клиент (iPhone) мог проверить, что подключается к «правильному» серверу. В таком режиме особенно важно корректно заполнить «Удалённый ID».
• По сертификату — клиент тоже имеет сертификат (обычно выданный администратором/провайдером). Тогда «Локальный ID» может быть важен для выбора сертификата/политики, но конкретное поведение зависит от настройки сервера.

Диагностика: что у вас за режим

• Если провайдер выдавал только логин/пароль — вероятнее всего, используется EAP.
• Сам по себе файл .mobileconfig или сертификат не определяет метод входа: профиль может содержать настройки EAP, а сертификат — использоваться только для доверия серверу. Проверьте указанный провайдером метод аутентификации.

Безопасные действия (обратимые)

• Не пытайтесь «переключать» тип аутентификации наугад, если провайдер выдавал параметры под конкретный режим: это часто заканчивается тем, что сервер отклоняет соединение.
• Если вы подозреваете ошибку в режиме (например, вам выдали сертификат, а вы пытаетесь подключаться по логину/паролю) — лучше уточнить у провайдера, какой именно метод предусмотрен, и затем вернуться к рекомендованным настройкам.

Проверка совпадения имени сертификата и «Удалённого ID»: чек‑лист

Практическое правило: когда iPhone проверяет сервер по сертификату, «Удалённый ID» должен соответствовать тому имени, которое сервер предъявляет в сертификате (обычно доменному имени). Если они не совпадают, соединение может не установиться.

Чек‑лист диагностики (без раскрытия секретов)

Если вам нужен общий пошаговый порядок добавления IKEv2‑профиля на iOS (именно «куда нажать»), используйте отдельную инструкцию: настройка IKEv2 VPN на iOS. Здесь мы разбираем только смысл полей и проверку совпадений.

Мини‑памятка по безопасной работе с параметрами

• Не публикуйте значения «Сервер», «Remote/Local ID», логины, пароли, ключи и содержимое сертификатов в чатах/скриншотах. Если нужно показать проблему — замажьте чувствительные данные.
• Меняйте по одному параметру за раз, чтобы было понятно, что именно повлияло, и чтобы легко откатить.
• Не отключайте проверку сертификата и не соглашайтесь на «любой сертификат» ради быстрого подключения: это ухудшает защиту от подмены сервера.

FAQ: частые вопросы про «Сервер», «Удалённый ID» и «Локальный ID»

Можно ли сделать так, чтобы «Сервер» и «Удалённый ID» были разными?

Да, это нормальный сценарий: «Сервер» — куда вы подключаетесь, а «Удалённый ID» — как вы проверяете подлинность сервера. Например, подключаться можно по IP, а проверять — по доменному имени из сертификата (если так выдал провайдер).

Если у меня только IP, что ставить в «Удалённый ID»?

Зависит от того, на что выпущен сертификат сервера и как настроен VPN. Часто провайдер всё равно выдаёт домен или отдельный идентификатор для «Удалённого ID». Если таких данных нет, лучше запросить их у провайдера, чем подбирать варианты.

Нужно ли заполнять «Локальный ID», если я вхожу по логину и паролю?

Часто — нет, и поле оставляют пустым. Но некоторые конфигурации требуют явного «Локального ID» (например, для сопоставления политик). Если провайдер дал это значение — используйте его; если не давал — начните с пустого.

Почему после смены домена VPN перестал подключаться?

Возможны две причины: изменился адрес «Сервер» (DNS/маршрутизация) или перестало совпадать имя в сертификате с «Удалённым ID». Безопасный путь — вернуть прежние значения (откат), затем уточнить у провайдера новый домен/Remote ID и убедиться, что сертификат обновлён под новое имя.

Можно ли использовать один и тот же «Удалённый ID» для разных серверов?

Да, если администратор настроил несколько шлюзов с одной подтверждённой серверной идентичностью и сертификатами, подходящими для этого Remote ID. В других конфигурациях идентификаторы различаются. Используйте значение для выбранного сервера из инструкции провайдера.

Когда может быть полезен персональный сервер: если вам нужен стабильный «свой» VPN‑шлюз с выделенным IP без соседей и понятными параметрами IKEv2 (включая корректные значения «Сервер/ID»), удобнее, когда провайдер выдаёт персональные реквизиты и вы управляете одним конкретным профилем.

Когда это не решит проблему: если трудность вызвана неверными значениями, которые вы не получили (например, Remote ID или сертификат), или ограничениями сети/устройства, персональный сервер сам по себе не заменит корректной конфигурации и проверки сертификата — всё равно нужно использовать данные, выданные провайдером, и не ослаблять проверки.

Если вам подходит сценарий «один пользователь — один сервер», то vpn.how предоставляет персональный VPN-сервер с выделенным IP; актуальные локации, протоколы, цены и ограничения смотрите на сайте и в кабинете.