iPhoneでMacのOpenVPNプロファイルを再利用できる？

一つの動作するMac接続は、同じアカウントと同じサーバーを使っていてもスマートフォンの雛形ではありません。Macプロファイルは証明書を別ファイルに保持し、デスクトップでしか意味を持たないディレクティブを使い、事業者がその一台だけに発行した身元に依存している場合があります。スマートフォンには独自のパッケージ、独自の身元、独自のインポート経路が必要です。ポリシーの問題とパッケージングの問題を分けることが作業の大半です。

何かをコピーする前に、アカウントを複数の端末で使えるか、スマートフォンに独自の証明書を渡すべきかを事業者に確認してください。

再利用はまずポリシーの問題であり、そのあとに技術的な問題である

クライアント証明書は身元である、同じ身元を二台の端末に置くと、サーバーはログでも、アクセス規則でも、失効の場面でも両者を区別できません。重複したコモンネームを明示的に許可する配備もありますが、多くはそうではなく、二台目は拒否されるか、一台目をオフラインに追いやります。ユーザー名とパスワードの共有は、証明書の共有を適切にはしません。移行を計画する前に、事業者の回答を書面で得てください。

監査の側面も同じだけ重要です。スマートフォンを紛失したとき、Macも使っている証明書を失効させれば両方の端末が切断され、有効なまま残せばVPNに接続できるスマートフォンが残ります。端末ごとの証明書なら紛失への対応は一度の失効で済み、追加の登録手順が存在する理由はまさにそこにあります。

Macプロファイルとスマートフォンのプロファイルは実際に異なる

デスクトップでは、.ovpnファイルはCA、証明書、鍵と別ファイルで並び、そのOSでしか意味を持たないフック、スクリプト、パスを含むことができます。モバイルクライアントは通常、そうした部品をインラインで、あるいはパスワード付きのPKCS#12バンドルとして受け取ることを求め、守れないディレクティブは無視するか拒否します。Macのファイルをコピーすると、インポートに失敗するか、選択肢の半分が欠けたまま接続することがよくあります。解決策は事業者が保守するモバイル用パッケージであり、厄介な行を消して手で編集したファイルではありません。

秘密鍵を含むファイルは設定ではなく資格情報として扱ってください。プロファイルのダウンロードが保護された経路を通るのはそのためであり、チャットやダウンロードフォルダに残ったコピーは、親しみやすいファイル名を持った生きた秘密です。

スマートフォン自身の流れでインポートする

公式のOpenVPN Connectアプリをインストールし、そのインポートの流れで、ファイルとしてでも、事業者が提供する接続URLとしてでもプロファイルを取り込みます。管理されていないスマートフォンでは、アプリがVPN構成の追加許可を求め、それがシステム自身の確認手順になります。Macから借りた値を先に入力するのではなく、アカウントとMFAの案内が表示された順に従ってください。インポートが成功して接続できない場合、問題は移行ではなくプロファイルの中身にあります。

管理されたスマートフォンでは、管理者がモバイルデバイス管理の経路でプロファイルのインポートや編集を制限することがあります。制限されたアプリは打ち破るべきパズルではなく、端末を交換したときの扱いも決まるので、管理者の登録経路を使ってください。

スマートフォンを独立して証明する

Wi-Fiを切った状態で、要求が黙って別の経路を通らないよう、スマートフォンから携帯回線で非公開のリソースを開いてください。Macが接続したままでいることは、スマートフォンの経路、DNS、資格情報の受け入れについて何も証明しません。次に二台を比較すると、Macでは名前解決でき、スマートフォンでは失敗する内部ホスト名は、パッケージ間でDNS設定が異なることを示します。プロファイル名、端末の身元、登録した人を記録してください。

何かが失敗したら、正確なメッセージとアプリのバージョンを残してください。インポートのエラーと接続のエラーは別の層から来ており、一つの報告にまとめると往復が一度無駄になります。きれいにインポートできたプロファイルが証明するのは、ファイルが解析されたことだけです。

登録後は、保持ポリシーに従って移行用のコピーを削除し、再登録の経路を文書化してください。交換用のスマートフォンは新しい身元を受け取るべきで、古いもののコピーではありません。