Come verificare i certificati VPN installati su un iPhone

Una connessione VPN smette di funzionare su un iPhone e il primo istinto è cercare un certificato per ripararla. Prima di abilitare una radice o eliminare un profilo, identificate che cosa è realmente installato e quale ruolo svolge. Un certificato può identificare il client, identificare il server o fornire un emittente di cui il dispositivo dovrebbe fidarsi, e questi tre compiti hanno ambiti e percorsi di riparazione diversi. L’ordine che segue parte dal profilo, poi si restringe al ruolo e alla decisione di fiducia. Ogni passo lascia una nota che potete confrontare in seguito.

Iniziate da VPN e Gestione dispositivo

Aprite Impostazioni, poi Generali, poi VPN e Gestione dispositivo. Questa schermata elenca i profili di configurazione e lo stato di gestione del dispositivo. Un profilo può contenere più payload, quindi aprite quello pertinente e leggete la sua origine e i suoi payload di certificato invece di leggere il nome del profilo.

Se il dispositivo è supervisionato o iscritto alla gestione dei dispositivi, alcune voci appartengono all’organizzazione e non possono essere modificate localmente. Annotate l’origine prima di pianificare qualsiasi modifica, perché un profilo gestito che eliminate di solito ritorna.

Identificate il ruolo del certificato

Un certificato di identità client è associato a una chiave privata conservata nel portachiavi del dispositivo. Un certificato server viene presentato dal gateway e convalidato dal client. Un certificato radice o intermedio è un emittente di cui viene chiesto al dispositivo di fidarsi. I primi due sono usati dalla connessione; il terzo cambia il modo in cui funziona la convalida per tutto ciò che si concatena a esso. Annotate l’emittente prima di cambiare qualcosa. Quella nota è ciò con cui confrontate se la fiducia si rompe altrove.

La visualizzazione pubblica di un certificato non espone né esporta necessariamente la chiave privata corrispondente, e non dovrebbe. Se la VPN richiede un’identità client, la chiave deve essere presente nel portachiavi e associata al certificato, il che è un controllo diverso dal vedere il certificato elencato.

Verificate la fiducia, ma solo per l’emittente giusto

Apple documenta che un certificato radice installato manualmente tramite un profilo non è automaticamente attendibile per SSL. La schermata Impostazioni di attendibilità dei certificati controlla se quella radice installata manualmente è attendibile, e abilitarla influisce su ogni connessione che si concatena a quell’emittente, non solo sulla VPN.

È proprio questa ampiezza il motivo per confermare l’assetto organizzativo previsto tramite un canale verificato prima di azionare l’interruttore. Una CA privata di un’app VPN può avere un ambito diverso da una radice a livello di sistema, e abilitare la radice per riparare un’app può allargare la fiducia ben oltre il problema originale.

Leggete l’errore prima di sostituire qualsiasi cosa

Una discrepanza nel nome host, un certificato foglia scaduto, una catena incompleta e una chiave privata mancante sono quattro guasti diversi. Possono produrre messaggi visibili simili, quindi controllate il testo effettivo dell’errore e la data e l’ora del dispositivo prima di sostituire il materiale.

Se l’errore nomina l’identità del server, il problema probabilmente non è affatto un certificato client. Se nomina un emittente non attendibile, guardate la catena e l’impostazione di fiducia. Sostituire un’identità client funzionante perché il certificato del server è scaduto fa perdere una giornata e non cambia nulla.

Rimuovete o reinstallate con un piano di ripristino

Rimuovere un profilo può rimuovere impostazioni e dati associati, e su un dispositivo gestito può richiedere la procedura di dismissione dell’amministratore. Chiedete cos’altro porta il profilo prima di eliminarlo, e conservate un modo per ripristinare la configurazione se la connessione continua a non funzionare dopo.

L’articolo di supporto Apple descrive l’installazione dei profili e il comportamento della fiducia. Usatelo per confermare di cosa il dispositivo dovrebbe fidarsi, poi cambiate una cosa alla volta e provate di nuovo la VPN da una connessione nuova.