Cómo comprobar los certificados VPN instalados en un iPhone

Una conexión VPN deja de funcionar en un iPhone y el primer impulso es buscar un certificado con el que arreglarlo. Antes de habilitar una raíz o borrar un perfil, identifique qué está instalado realmente y qué papel cumple. Un certificado puede identificar al cliente, identificar al servidor o aportar un emisor en el que el dispositivo debería confiar, y esas tres tareas tienen alcances distintos y rutas de reparación distintas. El orden siguiente empieza por el perfil y luego se estrecha hacia el papel y la decisión de confianza. Cada paso deja una nota que puede comparar más adelante.

Empiece en VPN y Gestión de dispositivos

Abra Ajustes, luego General, luego VPN y Gestión de dispositivos. Esta pantalla enumera los perfiles de configuración y el estado de gestión del dispositivo. Un perfil puede contener varias cargas, así que abra el relevante y lea su origen y sus cargas de certificado en lugar de leer el nombre del perfil.

Si el dispositivo está supervisado o inscrito en la gestión de dispositivos, algunas entradas pertenecen a la organización y no se pueden editar localmente. Anote el origen antes de planear cualquier cambio, porque un perfil gestionado que elimine normalmente volverá.

Identifique qué papel cumple el certificado

Un certificado de identidad de cliente se empareja con una clave privada guardada en el llavero del dispositivo. Un certificado de servidor lo presenta la pasarela y lo valida el cliente. Un certificado raíz o intermedio es un emisor en el que se pide al dispositivo que confíe. Los dos primeros los usa la conexión; el tercero cambia cómo funciona la validación para todo lo que encadena con él. Anote el emisor antes de cambiar nada. Esa nota es con lo que compara si la confianza se rompe en otro sitio.

La visualización pública de un certificado no expone ni exporta necesariamente la clave privada correspondiente, y no debería. Si la VPN necesita una identidad de cliente, la clave debe estar en el llavero y asociada al certificado, lo que es una comprobación distinta de ver el certificado en la lista.

Compruebe la confianza, pero solo para el emisor correcto

Apple documenta que un certificado raíz instalado manualmente mediante un perfil no es de confianza automáticamente para SSL. La pantalla Ajustes de confianza de certificados controla si esa raíz instalada manualmente es de confianza, y habilitarla afecta a cada conexión que encadena con ese emisor, no solo a la VPN.

Esa amplitud es la razón para confirmar la configuración organizativa prevista mediante un canal verificado antes de accionar el interruptor. Una CA privada de una aplicación VPN puede tener un alcance distinto del de una raíz de todo el sistema, y habilitar la raíz para arreglar una aplicación puede ampliar la confianza mucho más allá del problema original.

Lea el error antes de sustituir nada

Una discrepancia de nombre de host, un certificado hoja caducado, una cadena incompleta y una clave privada ausente son cuatro fallos distintos. Pueden producir mensajes visibles parecidos, así que compruebe el texto real del error y la fecha y hora del dispositivo antes de sustituir material.

Si el error nombra la identidad del servidor, el problema probablemente no sea ningún certificado de cliente. Si nombra un emisor no confiable, mire la cadena y el ajuste de confianza. Sustituir una identidad de cliente que funciona porque caducó el certificado del servidor pierde un día y no cambia nada.

Elimine o reinstale con un plan de recuperación

Eliminar un perfil puede eliminar ajustes y datos asociados, y en un dispositivo gestionado puede requerir el procedimiento de retirada del administrador. Pregunte qué más lleva el perfil antes de borrarlo, y conserve una forma de restaurar la configuración si la conexión sigue fallando después.

El artículo de soporte de Apple describe la instalación de perfiles y el comportamiento de la confianza. Úselo para confirmar en qué debe confiar el dispositivo, luego cambie una cosa cada vez y pruebe la VPN de nuevo desde una conexión nueva.