Как подключить VPN (IKEv2 по сертификату) в iOS (iPhone) к микротику?

Question

[stinger85]

Добрый день, поднят VPN IKEv2 на микротике, сертификаты выпущены, все компьютеры подключаются и андроид устройства тоже (через IKEv2\IPsec RSA), а вот на iPhone никак. Установлена вся цепочка сертификатов на iPhone (CA - в формате *.crt, корневой - в формате *.crt и пользователя в формате *.p12). На iPhone пишет, что сертификаты установлены, проверены (зеленым подсвечено), также добавлен CA в доверенные сертификаты (Настройки - Основные - Об устройстве - Доверенные сертификаты) в позиции ВКЛ. Создаю VPN IKEv2, прописываю адрес сервера, такой же Удаленный ID (подключение по белому IP), локальный ID - пустой, вход по сертификату (выбираю сертификат пользователя) нажимаю подключить и ничего не происходит, что можно еще попробовать подскажите?

Answer 1

[CityCat4]

EKU ipsecEndSystem, ipsecTunnel, 1.3.6.1.5.5.8.2.2 в сертификат включены? Ябблофонов у меня нет, но вот макось одна есть - и она подключается.
Еще может оказаться, что у яббла есть требования к серверному сертификату - например винда категорически откажется подключаться, если у нее в серверном сертификате в SAN нет DNS имени узла и его IP.
Вполне возможно, что яббл ожидает другой удаленный ID, можно попробовать не прописывать его вообще.

Comments

[stinger85]

EKU ipsecEndSystem, ipsecTunnel, 1.3.6.1.5.5.8.2.2 - по поводу этого, я не на столько разбираюсь и не могу точно ответить включено это в сертификат или нет).
В сертификате вроде все прописано, Винда и андроид - подключаются спокойно.
Удаленный ID не получиться исключить, так как это обязательный параметр)

[CityCat4]

stinger85, openssl x509 -in filename.crt -noout -text
и в выводе должно быть:

X509v3 Extended Key Usage: 
                TLS Web Server Authentication, IPSec End System, IPSec Tunnel, 1.3.6.1.5.5.8.2.2, TLS Web Client Authentication

EKU webserver и webclient я просто так добавил, не уверен, что это надо

Включи лог на микротике и посмотри, что происходит, может там чего будет полезного написано.

[stinger85]

CityCat4, Спасибо, попробую)