Як праверыць сертыфікаты VPN, усталяваныя на iPhone

Злучэнне VPN перастае працаваць на iPhone, і першая думка — знайсці сертыфікат, каб выправіць гэта. Перш чым уключыць каранёвы сертыфікат або выдаліць профіль, вызначце, што фактычна ўсталявана і якую ролю яно выконвае. Сертыфікат можа пазначаць кліента, пазначаць сервер або даваць эмітэнта, якому прылада павінна давяраць, і гэтыя тры задачы маюць розныя межы і розныя шляхі выпраўлення. Парадак ніжэй пачынаецца з профілю, затым звужваецца да ролі і рашэння пра давер. Кожны крок пакідае нататку, якую можна параўнаць пазней.

Пачніце з VPN і кіравання прыладай

Адкрыйце Налады, затым Агульныя, затым VPN і кіраванне прыладай. Гэты экран пералічвае профілі канфігурацыі і стан кіравання прыладай. Профіль можа змяшчаць некалькі карысных нагрузак, таму адкрыйце адпаведны і прачытайце яго крыніцу і яго сертыфікатныя нагрузкі, а не назву профілю.

Калі прылада знаходзіцца пад наглядам або ўключана ў кіраванне прыладамі, некаторыя запісы належаць арганізацыі і не могуць быць зменены лакальна. Запішыце крыніцу, перш чым планаваць любыя змены, бо кіраваны профіль, які вы выдаліце, звычайна вернецца.

Вызначце, якую ролю выконвае сертыфікат

Сертыфікат ідэнтычнасці кліента спалучаны з прыватным ключом, які захоўваецца ў звязцы ключоў прылады. Сертыфікат сервера прад'яўляе шлюз, і кліент яго правярае. Каранёвы або прамежкавы сертыфікат — гэта эмітэнт, якому прыладзе прапануецца давяраць. Першыя два выкарыстоўвае злучэнне; трэці змяняе тое, як працуе праверка для ўсяго, што будуецца на ім. Запішыце эмітэнта, перш чым нешта змяняць. Гэтая нататка — тое, з чым вы параўноўваеце, калі давер ламаецца ў іншым месцы.

Публічны паказ сертыфіката не абавязкова раскрывае або экспартуе адпаведны прыватны ключ, і не павінен. Калі VPN патрабуе ідэнтычнасці кліента, ключ павінен прысутнічаць у звязцы ключоў і быць звязаны з сертыфікатам, што з'яўляецца іншай праверкай, чым бачыць сертыфікат у спісе.

Праверце давер, але толькі для правільнага эмітэнта

Apple дакументуе, што каранёвы сертыфікат, усталяваны ўручную праз профіль, не давяраецца аўтаматычна для SSL. Экран Налады даверу сертыфікатаў кантралюе, ці давяраецца гэтаму ўсталяванаму ўручную караню, і яго ўключэнне ўплывае на кожнае злучэнне, якое будуецца на гэтым эмітэнце, а не толькі на VPN.

Менавіта гэтая шырата — прычына пацвердзіць меркаваную арганізацыйную схему праз правераны канал, перш чым пераключыць ручнік. Прыватны CA праграмы VPN можа мець межы, адрозныя ад сістэмнага караня, і ўключэнне караня, каб выправіць адну праграму, можа пашырыць давер далёка за межы зыходнай праблемы.

Прачытайце памылку, перш чым нешта замяняць

Нясупадзенне імені хоста, пратэрмінаваны канчатковы сертыфікат, няпоўны ланцуг і адсутны прыватны ключ — гэта чатыры розныя збоі. Яны могуць даваць падобныя бачныя паведамленні, таму праверце фактычны тэкст памылкі і дату і час прылады, перш чым замяняць матэрыял.

Калі памылка называе ідэнтычнасць сервера, праблема, верагодна, зусім не ў сертыфікаце кліента. Калі яна называе ненадзейнага эмітэнта, паглядзіце на ланцуг і наладу даверу. Замена працоўнай ідэнтычнасці кліента, бо скончыўся тэрмін сертыфіката сервера, марнуе дзень і нічога не змяняе.

Выдаліце або пераўсталюйце з планам аднаўлення

Выдаленне профілю можа выдаліць звязаныя налады і даныя, а на кіраванай прыладзе можа спатрэбіцца працэдура вываду з эксплуатацыі адміністратарам. Спытайце, што яшчэ нясе профіль, перш чым яго выдаляць, і захавайце спосаб аднавіць канфігурацыю калі злучэнне пасля гэтага ўсё яшчэ не працуе.

Артыкул падтрымкі Apple апісвае ўсталяванне профіляў і паводзіны даверу. Выкарыстайце яго, каб пацвердзіць, чаму прылада павінна давяраць, затым змяняйце па адным элеменце і ізноў праверце VPN з новага злучэння.