Как да проверите VPN сертификатите, инсталирани на iPhone

VPN връзка спира да работи на iPhone и първият импулс е да се търси сертификат за поправка. Преди да включите коренов сертификат или да изтриете профил, установете какво всъщност е инсталирано и каква роля играе то. Сертификатът може да идентифицира клиента, да идентифицира сървъра или да предостави издател, на който устройството трябва да се доверява, и тези три задачи имат различен обхват и различни пътища за поправка. Редът по-долу започва с профила, после се стеснява до ролята и решението за доверие. Всяка стъпка оставя бележка, която можете да сравните по-късно.

Започнете от VPN и управление на устройството

Отворете Настройки, после Основни, после VPN и управление на устройството. Този екран изброява конфигурационните профили и състоянието на управление на устройството. Един профил може да съдържа няколко полезни товара, затова отворете съответния и прочетете източника и товарите му за сертификати, вместо да четете името на профила.

Ако устройството е под надзор или е записано в управление на устройства, някои записи са собственост на организацията и не могат да се редактират локално. Отбележете източника, преди да планирате каквато и да е промяна, защото управляван профил, който изтриете, обикновено се връща.

Определете каква роля играе сертификатът

Сертификатът за идентичност на клиента е свързан с частен ключ, съхранен в ключодържателя на устройството. Сертификатът на сървъра се представя от шлюза и се проверява от клиента. Коренов или междинен сертификат е издател, на който устройството е помолено да се доверява. Първите два се използват от връзката; третият променя начина, по който работи проверката за всичко, което се свързва към него. Запишете издателя, преди да промените нещо. Тази бележка е това, с което сравнявате, ако доверието се счупи другаде.

Публичното показване на сертификат не разкрива непременно и не експортира съответния частен ключ и не би трябвало. Ако VPN изисква идентичност на клиента, ключът трябва да присъства в ключодържателя и да е свързан със сертификата, което е различна проверка от това да видите сертификата в списъка.

Проверете доверието, но само за правилния издател

Apple документира, че коренов сертификат, инсталиран ръчно чрез профил, не се доверява автоматично за SSL. Екранът Настройки за доверие на сертификати контролира дали този ръчно инсталиран корен е доверен, и включването му засяга всяка връзка, която се свързва към този издател, не само VPN.

Точно тази широта е причината да потвърдите предвидената организационна схема през проверен канал, преди да превключите ключа. Частният CA на VPN приложение може да има различен обхват от системен корен и включването на корена, за да поправите едно приложение, може да разшири доверието далеч отвъд първоначалния проблем.

Прочетете грешката, преди да замените нещо

Несъответствие в името на хоста, изтекъл краен сертификат, непълен верижен път и липсващ частен ключ са четири различни повреди. Те могат да дадат подобни видими съобщения, затова проверете действителния текст на грешката и датата и часа на устройството, преди да замените материал.

Ако грешката посочва идентичността на сървъра, проблемът вероятно изобщо не е клиентски сертификат. Ако посочва недоверен издател, погледнете веригата и настройката за доверие. Замяната на работеща клиентска идентичност, защото сертификатът на сървъра е изтекъл, губи ден и не променя нищо.

Премахнете или преинсталирайте с план за възстановяване

Премахването на профил може да премахне свързани настройки и данни, а на управлявано устройство може да изисква процедурата за извеждане от администратора. Попитайте какво още носи профилът, преди да го изтриете, и запазете начин за възстановяване на конфигурацията ако връзката продължава да се проваля след това.

Статията за поддръжка на Apple описва инсталирането на профили и поведението на доверието. Използвайте я, за да потвърдите на какво устройството трябва да се доверява, после променяйте по едно нещо и тествайте VPN отново от нова връзка.