Comment vérifier les certificats VPN installés sur un iPhone

Une connexion VPN cesse de fonctionner sur un iPhone, et le premier réflexe est de chercher un certificat pour la réparer. Avant d’activer une racine ou de supprimer un profil, identifiez ce qui est réellement installé et quel rôle cela joue. Un certificat peut identifier le client, identifier le serveur ou fournir un émetteur auquel l’appareil devrait faire confiance, et ces trois tâches ont des portées et des chemins de réparation différents. L’ordre ci-dessous part du profil, puis se resserre sur le rôle et la décision de confiance. Chaque étape laisse une note que vous pourrez comparer ensuite.

Commencez dans VPN et Gestion de l’appareil

Ouvrez Réglages, puis Général, puis VPN et Gestion de l’appareil. Cet écran répertorie les profils de configuration et l’état de gestion de l’appareil. Un profil peut contenir plusieurs charges utiles, donc ouvrez celui qui convient et lisez sa source et ses charges de certificat plutôt que le nom du profil.

Si l’appareil est supervisé ou inscrit à la gestion des appareils, certaines entrées appartiennent à l’organisation et ne peuvent pas être modifiées localement. Notez la source avant d’envisager un changement, car un profil géré que vous supprimez revient généralement.

Identifiez le rôle du certificat

Un certificat d’identité client est associé à une clé privée stockée dans le trousseau de l’appareil. Un certificat de serveur est présenté par la passerelle et validé par le client. Un certificat racine ou intermédiaire est un émetteur auquel l’appareil est invité à faire confiance. Les deux premiers servent à la connexion ; le troisième modifie la façon dont la validation fonctionne pour tout ce qui s’y enchaîne. Notez l’émetteur avant de changer quoi que ce soit. Cette note est la référence à laquelle vous comparez si la confiance se rompt ailleurs.

L’affichage public d’un certificat n’expose ni n’exporte forcément la clé privée correspondante, et il ne devrait pas. Si le VPN exige une identité client, la clé doit être présente dans le trousseau et associée au certificat, ce qui est une vérification différente du simple fait de voir le certificat listé.

Vérifiez la confiance, mais seulement pour le bon émetteur

Apple documente qu’un certificat racine installé manuellement via un profil n’est pas automatiquement approuvé pour SSL. L’écran Réglages de confiance des certificats contrôle si cette racine installée manuellement est approuvée, et l’activer affecte chaque connexion qui s’enchaîne à cet émetteur, pas seulement le VPN.

C’est précisément cette étendue qui justifie de confirmer la configuration organisationnelle prévue par un canal vérifié avant de basculer l’interrupteur. Une AC privée d’application VPN peut avoir une portée différente de celle d’une racine à l’échelle du système, et activer la racine pour réparer une application peut élargir la confiance bien au-delà du problème d’origine.

Lisez l’erreur avant de remplacer quoi que ce soit

Une incohérence de nom d’hôte, un certificat feuille expiré, une chaîne incomplète et une clé privée manquante sont quatre défaillances différentes. Elles peuvent produire des messages visibles similaires, donc vérifiez le texte réel de l’erreur ainsi que la date et l’heure de l’appareil avant de remplacer le matériel.

Si l’erreur nomme l’identité du serveur, le problème n’est probablement pas un certificat client du tout. Si elle nomme un émetteur non approuvé, examinez la chaîne et le réglage de confiance. Remplacer une identité client qui fonctionne parce que le certificat du serveur a expiré fait perdre une journée et ne change rien.

Supprimez ou réinstallez avec un plan de récupération

Supprimer un profil peut supprimer des réglages et des données associés, et sur un appareil géré, cela peut exiger la procédure de mise hors service de l’administrateur. Demandez ce que le profil transporte d’autre avant de le supprimer, et gardez un moyen de restaurer la configuration si la connexion échoue encore ensuite.

L’article d’assistance Apple décrit l’installation des profils et le comportement de la confiance. Utilisez-le pour confirmer ce à quoi l’appareil est censé faire confiance, puis changez une chose à la fois et testez de nouveau le VPN depuis une connexion neuve.