So prüfen Sie VPN-Zertifikate, die auf einem iPhone installiert sind

Eine VPN-Verbindung funktioniert auf einem iPhone nicht mehr, und der erste Impuls ist, ein Zertifikat zur Reparatur zu suchen. Bevor Sie eine Stammstelle aktivieren oder ein Profil löschen, sollten Sie feststellen, was tatsächlich installiert ist und welche Rolle es spielt. Ein Zertifikat kann den Client identifizieren, den Server identifizieren oder einen Aussteller liefern, dem das Gerät vertrauen soll, und diese drei Aufgaben haben unterschiedliche Reichweiten und unterschiedliche Reparaturwege. Die folgende Reihenfolge beginnt beim Profil und verengt sich dann auf die Rolle und die Vertrauensentscheidung. Jeder Schritt hinterlässt eine Notiz, die Sie später vergleichen können.

Beginnen Sie bei VPN und Geräteverwaltung

Öffnen Sie Einstellungen, dann Allgemein, dann VPN und Geräteverwaltung. Dieser Bildschirm listet Konfigurationsprofile und den Verwaltungsstatus des Geräts auf. Ein Profil kann mehrere Nutzlasten enthalten, öffnen Sie daher das relevante und lesen Sie dessen Quelle und dessen Zertifikatsnutzlasten, statt den Profilnamen zu lesen.

Ist das Gerät überwacht oder in der Geräteverwaltung eingeschrieben, gehören einige Einträge der Organisation und lassen sich nicht lokal bearbeiten. Notieren Sie die Quelle, bevor Sie eine Änderung planen, denn ein verwaltetes Profil, das Sie löschen, kommt in der Regel zurück.

Bestimmen Sie, welche Rolle das Zertifikat spielt

Ein Client-Identitätszertifikat ist mit einem privaten Schlüssel gepaart, der im Schlüsselbund des Geräts liegt. Ein Serverzertifikat wird vom Gateway vorgelegt und vom Client geprüft. Ein Stamm- oder Zwischenzertifikat ist ein Aussteller, dem das Gerät vertrauen soll. Die ersten beiden nutzt die Verbindung; das dritte verändert, wie die Prüfung für alles funktioniert, was sich daran anknüpft. Notieren Sie den Aussteller, bevor Sie etwas ändern. Diese Notiz ist der Vergleichswert, wenn das Vertrauen an anderer Stelle bricht.

Eine öffentliche Zertifikatsanzeige legt den passenden privaten Schlüssel nicht zwangsläufig offen und exportiert ihn nicht, und sie sollte es auch nicht. Braucht das VPN eine Client-Identität, muss der Schlüssel im Schlüsselbund vorhanden und mit dem Zertifikat verknüpft sein, was eine andere Prüfung ist als das Zertifikat in der Liste zu sehen.

Prüfen Sie Vertrauen, aber nur für den richtigen Aussteller

Apple dokumentiert, dass ein manuell über ein Profil installiertes Stammzertifikat nicht automatisch für SSL vertrauenswürdig ist. Der Bildschirm Einstellungen für Zertifikatsvertrauen steuert, ob dieser manuell installierte Stamm vertrauenswürdig ist, und das Aktivieren wirkt auf jede Verbindung, die sich an diesen Aussteller anknüpft, nicht nur auf das VPN.

Genau diese Breite ist der Grund, die beabsichtigte organisatorische Einrichtung über einen verifizierten Kanal zu bestätigen, bevor Sie den Schalter umlegen. Eine private CA einer VPN-App kann einen anderen Umfang haben als ein systemweiter Stamm, und den Stamm zu aktivieren, um eine App zu reparieren, kann das Vertrauen weit über das ursprüngliche Problem hinaus ausdehnen.

Lesen Sie den Fehler, bevor Sie etwas ersetzen

Eine Hostnamen-Abweichung, ein abgelaufenes Endzertifikat, eine unvollständige Kette und ein fehlender privater Schlüssel sind vier verschiedene Fehler. Sie können ähnlich aussehende Meldungen erzeugen, prüfen Sie daher den tatsächlichen Fehlertext sowie Datum und Uhrzeit des Geräts, bevor Sie Material ersetzen.

Nennt der Fehler die Serveridentität, ist das Problem wahrscheinlich gar kein Client-Zertifikat. Nennt er einen nicht vertrauenswürdigen Aussteller, sehen Sie sich die Kette und die Vertrauenseinstellung an. Eine funktionierende Client-Identität zu ersetzen, weil das Serverzertifikat abgelaufen ist, kostet einen Tag und ändert nichts.

Entfernen oder neu installieren mit einem Wiederherstellungsplan

Das Entfernen eines Profils kann zugehörige Einstellungen und Daten entfernen, und auf einem verwalteten Gerät kann es das Außerbetriebnahmeverfahren des Administrators erfordern. Fragen Sie, was das Profil sonst noch trägt, bevor Sie es löschen, und behalten Sie einen Weg zur Wiederherstellung der Konfiguration falls die Verbindung danach weiterhin fehlschlägt.

Der Supportartikel von Apple beschreibt die Profilinstallation und das Vertrauensverhalten. Nutzen Sie ihn, um zu bestätigen, welchem das Gerät vertrauen soll, ändern Sie dann jeweils eine Sache und testen Sie das VPN erneut über eine frische Verbindung.