Hoe u VPN-certificaten controleert die op een iPhone zijn geïnstalleerd

Een VPN-verbinding werkt niet meer op een iPhone, en de eerste reflex is een certificaat zoeken om het te herstellen. Voordat u een root inschakelt of een profiel verwijdert, stelt u vast wat er werkelijk is geïnstalleerd en welke rol dat speelt. Een certificaat kan de client identificeren, de server identificeren of een uitgever leveren die het apparaat zou moeten vertrouwen, en die drie taken hebben verschillende reikwijdtes en verschillende herstelroutes. De volgorde hieronder begint bij het profiel en vernauwt zich dan tot de rol en de vertrouwensbeslissing. Elke stap laat een notitie achter die u later kunt vergelijken.

Begin bij VPN en Apparaatbeheer

Open Instellingen, dan Algemeen, dan VPN en Apparaatbeheer. Dit scherm toont configuratieprofielen en de beheerstatus van het apparaat. Een profiel kan meerdere payloads bevatten, dus open het relevante profiel en lees de bron en de certificaatpayloads in plaats van de profielnaam.

Als het apparaat onder toezicht staat of is ingeschreven in apparaatbeheer, zijn sommige vermeldingen eigendom van de organisatie en kunnen ze niet lokaal worden bewerkt. Noteer de bron voordat u een wijziging plant, want een beheerd profiel dat u verwijdert, komt meestal terug.

Bepaal welke rol het certificaat speelt

Een client-identiteitscertificaat is gekoppeld aan een persoonlijke sleutel in de sleutelhanger van het apparaat. Een servercertificaat wordt aangeboden door de gateway en gevalideerd door de client. Een root- of tussenliggend certificaat is een uitgever die het apparaat wordt geacht te vertrouwen. De eerste twee worden door de verbinding gebruikt; de derde verandert hoe validatie werkt voor alles wat eraan ketent. Noteer de uitgever voordat u iets wijzigt. Die notitie is waarmee u vergelijkt als het vertrouwen elders breekt.

Een openbare certificaatweergave legt de bijbehorende persoonlijke sleutel niet noodzakelijk bloot en exporteert die niet, en dat zou ook niet moeten. Als de VPN een client-identiteit nodig heeft, moet de sleutel in de sleutelhanger staan en aan het certificaat gekoppeld zijn, wat een andere controle is dan het certificaat in de lijst zien.

Controleer vertrouwen, maar alleen voor de juiste uitgever

Apple documenteert dat een rootcertificaat dat handmatig via een profiel is geïnstalleerd niet automatisch vertrouwd is voor SSL. Het scherm Instellingen voor certificaatvertrouwen bepaalt of die handmatig geïnstalleerde root wordt vertrouwd, en inschakeling beïnvloedt elke verbinding die aan die uitgever ketent, niet alleen de VPN.

Juist die breedte is de reden om de beoogde organisatorische opzet via een geverifieerd kanaal te bevestigen voordat u de schakelaar omzet. Een privé-CA van een VPN-app kan een andere reikwijdte hebben dan een systeembrede root, en het inschakelen van de root om één app te herstellen kan het vertrouwen veel verder uitbreiden dan het oorspronkelijke probleem.

Lees de fout voordat u iets vervangt

Een niet-overeenkomende hostnaam, een verlopen bladcertificaat, een onvolledige keten en een ontbrekende persoonlijke sleutel zijn vier verschillende storingen. Ze kunnen vergelijkbare zichtbare meldingen geven, dus controleer de werkelijke fouttekst en de datum en tijd van het apparaat voordat u materiaal vervangt.

Als de fout de serveridentiteit noemt, is het probleem waarschijnlijk helemaal geen clientcertificaat. Als de fout een niet-vertrouwde uitgever noemt, kijk dan naar de keten en de vertrouwensinstelling. Een werkende clientidentiteit vervangen omdat het servercertificaat is verlopen kost een dag en verandert niets.

Verwijder of herinstalleer met een herstelplan

Het verwijderen van een profiel kan bijbehorende instellingen en gegevens verwijderen, en op een beheerd apparaat kan het de uitdienstnemingsprocedure van de beheerder vereisen. Vraag wat het profiel nog meer bevat voordat u het verwijdert, en houd een manier om de configuratie te herstellen als de verbinding daarna nog steeds mislukt.

Het supportartikel van Apple beschrijft profielinstallatie en vertrouwensgedrag. Gebruik het om te bevestigen wat het apparaat zou moeten vertrouwen, wijzig daarna één ding tegelijk en test de VPN opnieuw vanaf een nieuwe verbinding.