iPhone にインストールされた VPN 証明書を確認する方法

iPhone で VPN 接続が動かなくなると、まず証明書を探して直そうと考えがちです。ルートを有効化したりプロファイルを削除したりする前に、実際に何がインストールされ、どの役割を担っているのかを特定してください。証明書はクライアントを識別する場合も、サーバーを識別する場合も、端末が信頼すべき発行者を提供する場合もあり、この三つの役割は範囲も修復の手順も異なります。以下の順序はプロファイルから始まり、役割と信頼の判断へと絞り込んでいきます。各手順でメモを残せば、後から比較できます。

VPN とデバイス管理から始める

設定を開き、一般、VPN とデバイス管理の順に進みます。この画面には構成プロファイルと端末の管理状態が一覧表示されます。一つのプロファイルに複数のペイロードが含まれることがあるため、プロファイル名を読むのではなく、該当するものを開いてその発行元と証明書ペイロードを確認してください。

端末が監視下にある場合やデバイス管理に登録されている場合、一部の項目は組織が所有しており、ローカルでは編集できません。変更を計画する前に発行元を記録してください。削除した管理対象プロファイルは通常、元に戻ります。

証明書の役割を特定する

クライアント ID 証明書は、端末のキーチェーンに保存された秘密鍵と対になっています。サーバー証明書はゲートウェイが提示し、クライアントが検証します。ルート証明書や中間証明書は、端末が信頼するよう求められる発行者です。最初の二つは接続が使用し、三つ目はそこにつながるすべての検証の仕組みを変えます。何かを変更する前に発行者を書き留めてください。そのメモは、別の場所で信頼が崩れたときに照合する基準になります。

証明書が公開表示されても、対応する秘密鍵が必ず露出したり書き出されたりするわけではなく、そうなるべきでもありません。VPN がクライアント ID を必要とする場合、鍵はキーチェーンに存在し証明書と関連付けられている必要があり、これは証明書が一覧に表示されることとは別の確認です。

信頼は正しい発行者だけに対して確認する

Apple は、プロファイル経由で手動インストールしたルート証明書が SSL に対して自動的に信頼されないことを文書化しています。証明書信頼設定の画面では、その手動インストールしたルートを信頼するかどうかを制御し、有効にすると VPN だけでなく、その発行者につながるすべての接続に影響します。

この広さこそが、スイッチを切り替える前に意図した組織の構成を検証済みの経路で確認すべき理由です。VPN アプリのプライベート CA はシステム全体のルートとは範囲が異なる場合があり、一つのアプリを直すためにルートを有効にすると、信頼が元の問題をはるかに超えて広がる可能性があります。

何かを交換する前にエラーを読む

ホスト名の不一致、期限切れのリーフ証明書、不完全なチェーン、欠落した秘密鍵は、四つの異なる障害です。表示されるメッセージは似ていることがあるため、資材を交換する前に実際のエラー文言と端末の日時を確認してください。

エラーがサーバーの ID を示しているなら、問題はクライアント証明書ではない可能性が高いです。信頼されていない発行者を示しているなら、チェーンと信頼設定を確認してください。サーバー証明書の期限切れが理由で動作しているクライアント ID を交換しても、一日を無駄にするだけで何も変わりません。

復旧計画を用意して削除または再インストールする

プロファイルを削除すると関連する設定やデータも削除されることがあり、管理対象の端末では管理者の退役手続きが必要になる場合があります。削除する前にプロファイルが他に何を運んでいるかを確認し、また、構成を復元する手段を、その後も接続が失敗する場合に備えて残しておいてください。

Apple のサポート記事では、プロファイルのインストールと信頼の動作が説明されています。端末が何を信頼すべきかの確認に使い、その後は一度に一つだけ変更し、新しい接続から VPN を再テストしてください。