Com comprovar els certificats VPN instal·lats en un iPhone

Una connexió VPN deixa de funcionar en un iPhone i el primer instint és buscar un certificat per arreglar-ho. Abans d’habilitar una arrel o d’eliminar un perfil, identifiqueu què hi ha instal·lat realment i quina funció fa. Un certificat pot identificar el client, identificar el servidor o proporcionar un emissor en què el dispositiu hauria de confiar, i aquestes tres tasques tenen abasts i camins de reparació diferents. L’ordre següent comença pel perfil i després s’estreny cap a la funció i la decisió de confiança. Cada pas deixa una nota que podeu comparar més endavant.

Comenceu a VPN i Gestió de dispositius

Obriu Configuració, després General, després VPN i Gestió de dispositius. Aquesta pantalla llista els perfils de configuració i l’estat de gestió del dispositiu. Un perfil pot contenir diverses càrregues, així que obriu el rellevant i llegiu-ne l’origen i les càrregues de certificat en lloc de llegir el nom del perfil.

Si el dispositiu està supervisat o inscrit en la gestió de dispositius, algunes entrades són propietat de l’organització i no es poden editar localment. Anoteu l’origen abans de planificar qualsevol canvi, perquè un perfil gestionat que suprimiu normalment torna.

Identifiqueu quina funció fa el certificat

Un certificat d’identitat de client s’emparella amb una clau privada desada al portaempelts del dispositiu. Un certificat de servidor el presenta la passarel·la i el client el valida. Un certificat d’arrel o intermediari és un emissor en què es demana al dispositiu que confiï. Els dos primers els fa servir la connexió; el tercer canvia com funciona la validació per a tot el que s’encadena a ell. Anoteu l’emissor abans de canviar res. Aquesta nota és el que compareu si la confiança es trenca en un altre lloc.

La visualització pública d’un certificat no exposa ni exporta necessàriament la clau privada corresponent, i no ho hauria de fer. Si la VPN necessita una identitat de client, la clau ha de ser al portaempelts i associada al certificat, cosa que és una comprovació diferent de veure el certificat llistat.

Comproveu la confiança, però només per a l’emissor correcte

Apple documenta que un certificat d’arrel instal·lat manualment mitjançant un perfil no és fiable automàticament per a SSL. La pantalla Configuració de confiança de certificats controla si aquesta arrel instal·lada manualment és fiable, i habilitar-la afecta totes les connexions que s’encadenen a aquest emissor, no només la VPN.

Aquesta amplitud és la raó per confirmar la configuració organitzativa prevista mitjançant un canal verificat abans de girar l’interruptor. Una CA privada d’una aplicació VPN pot tenir un abast diferent del d’una arrel de tot el sistema, i habilitar l’arrel per arreglar una aplicació pot ampliar la confiança molt més enllà del problema original.

Llegiu l’error abans de substituir res

Una discrepància de nom d’amfitrió, un certificat fulla caducat, una cadena incompleta i una clau privada absent són quatre fallades diferents. Poden produir missatges visibles similars, així que comproveu el text real de l’error i la data i l’hora del dispositiu abans de substituir material.

Si l’error anomena la identitat del servidor, el problema probablement no és cap certificat de client. Si anomena un emissor no fiable, mireu la cadena i el paràmetre de confiança. Substituir una identitat de client que funciona perquè el certificat del servidor ha caducat fa perdre un dia i no canvia res.

Suprimiu o reinstal·leu amb un pla de recuperació

Suprimir un perfil pot suprimir paràmetres i dades associats, i en un dispositiu gestionat pot requerir el procediment de baixa de l’administrador. Pregunteu què més porta el perfil abans d’eliminar-lo, i manteniu una manera de restaurar la configuració si la connexió encara falla després.

L’article de suport d’Apple descriu la instal·lació de perfils i el comportament de la confiança. Feu-lo servir per confirmar en què ha de confiar el dispositiu, després canvieu una cosa alhora i torneu a provar la VPN des d’una connexió nova.