Un iPhone peut-il réutiliser le profil OpenVPN de votre Mac ?

Une connexion Mac qui fonctionne n’est pas un modèle pour un téléphone, même lorsque les deux utilisent le même compte et le même serveur. Le profil Mac peut conserver les certificats dans des fichiers séparés, employer des directives qui n’ont de sens que sur un poste de travail et dépendre d’une identité que l’exploitant n’a délivrée que pour cette machine. Un téléphone a besoin de son propre paquet, de sa propre identité et de son propre chemin d’importation. Séparer la question de politique de la question d’empaquetage, c’est l’essentiel du travail.

Demandez deux choses à l’exploitant avant de copier quoi que ce soit : si le compte peut fonctionner sur plus d’un appareil et si le téléphone doit recevoir son propre certificat.

La réutilisation est d’abord une question de politique, ensuite une question technique

Un certificat client est une identité, et placer une identité sur deux appareils signifie que le serveur ne peut pas les distinguer dans les journaux, dans les règles d’accès ni lors d’une révocation. Certains déploiements l’acceptent et autorisent explicitement les noms communs en double ; la plupart ne le font pas, et le second appareil est soit refusé, soit met le premier hors ligne. Un nom d’utilisateur et un mot de passe partagés ne rendent pas un certificat partagé approprié. Obtenez la réponse de l’exploitant par écrit avant de planifier un transfert.

Le volet audit compte tout autant. Si le téléphone est perdu, révoquer un certificat que le Mac utilise aussi déconnecte les deux appareils, et le laisser valide laisse un téléphone avec un accès VPN fonctionnel. Un certificat par appareil transforme la réponse à la perte en une seule révocation, et c’est précisément pourquoi l’étape d’inscription supplémentaire existe.

Le profil Mac et le profil du téléphone diffèrent en pratique

Sur un poste de travail, un fichier .ovpn peut se trouver à côté d’une CA, d’un certificat et d’une clé dans des fichiers séparés, et il peut porter des hooks, des scripts et des chemins qui n’ont de sens que sur ce système d’exploitation. Un client mobile veut généralement ces pièces intégrées ou fournies via un paquet PKCS#12 avec un mot de passe, et il ignore ou rejette les directives qu’il ne peut pas honorer. Copier le fichier du Mac produit souvent une importation qui échoue, ou une qui se connecte avec la moitié des options manquantes. La solution est un paquet mobile maintenu par l’exploitant, pas un fichier modifié à la main dont on a supprimé les lignes gênantes.

Traitez tout fichier contenant une clé privée comme un identifiant et non comme une configuration. Les téléchargements de profils passent par des canaux protégés pour cette raison, et une copie laissée dans une conversation ou un dossier de téléchargements est un secret vivant avec un nom de fichier avenant.

Importez par le flux propre au téléphone

Installez l’application officielle OpenVPN Connect, puis apportez le profil par son flux d’importation, soit sous forme de fichier, soit sous forme d’URL de connexion fournie par l’exploitant. Sur un téléphone non géré, l’application demande l’autorisation d’ajouter une configuration VPN, ce qui est l’étape de confirmation du système lui-même. Suivez les invites de compte et de MFA telles qu’elles apparaissent au lieu de préremplir des valeurs empruntées au Mac. Si l’importation réussit et que la connexion non, le problème se situe dans le contenu du profil, pas dans le transfert.

Sur un téléphone géré, l’administrateur peut restreindre l’importation ou la modification du profil via le canal de gestion des appareils mobiles. Une application restreinte n’est pas un casse-tête à vaincre ; utilisez le chemin d’inscription de l’administrateur, car ce chemin régit aussi ce qui se passe lors du remplacement du téléphone.

Prouvez le téléphone de façon indépendante

Ouvrez une ressource privée depuis le téléphone en données cellulaires avec le Wi-Fi coupé, afin que la requête ne puisse pas emprunter silencieusement un autre chemin. Le fait que le Mac reste connecté ne prouve rien sur les routes, le DNS ou l’acceptation des identifiants du téléphone. Comparez ensuite les deux appareils : un nom d’hôte interne qui se résout sur le Mac et échoue sur le téléphone indique des réglages DNS différents entre les paquets. Notez le nom du profil, l’identité de l’appareil et qui l’a inscrit.

Quand quelque chose échoue, conservez le message exact et la version de l’application. Une erreur d’importation et une erreur de connexion viennent de couches différentes, et les fusionner dans un seul rapport gaspille un aller-retour. Un profil qui s’importe proprement prouve seulement que le fichier a été analysé.

Après l’inscription, supprimez les copies de transfert selon votre politique de conservation et documentez un chemin de réinscription. Un téléphone de remplacement doit recevoir une identité nouvelle, pas une copie de l’ancienne.