Como verificar certificados VPN instalados num iPhone

Uma ligação VPN deixa de funcionar num iPhone e o primeiro impulso é procurar um certificado para corrigir. Antes de ativar uma raiz ou eliminar um perfil, identifique o que está realmente instalado e que função desempenha. Um certificado pode identificar o cliente, identificar o servidor ou fornecer um emissor em que o dispositivo deve confiar, e essas três tarefas têm âmbitos diferentes e caminhos de reparação diferentes. A ordem abaixo começa no perfil e depois estreita-se para a função e a decisão de confiança. Cada passo deixa uma nota que pode comparar mais tarde.

Comece em VPN e Gestão de Dispositivos

Abra Definições, depois Geral e depois VPN e Gestão de Dispositivos. Este ecrã lista perfis de configuração e o estado de gestão do dispositivo. Um perfil pode conter várias cargas, por isso abra o relevante e leia a origem e as cargas do certificado em vez de ler o nome do perfil.

Se o dispositivo estiver supervisionado ou inscrito na gestão de dispositivos, algumas entradas pertencem à organização e não podem ser editadas localmente. Registe a origem antes de planear qualquer alteração, porque um perfil gerido que eliminar normalmente volta.

Identifique que função desempenha o certificado

Um certificado de identidade do cliente está emparelhado com uma chave privada guardada no porta-chaves do dispositivo. Um certificado de servidor é apresentado pela gateway e validado pelo cliente. Um certificado de raiz ou intermédio é um emissor em que o dispositivo é convidado a confiar. Os dois primeiros são usados pela ligação; o terceiro altera a forma como a validação funciona para tudo o que encadeia nele. Anote o emissor antes de alterar seja o que for. Essa nota é aquilo com que compara se a confiança falhar noutro ponto.

A apresentação pública de um certificado não expõe nem exporta necessariamente a chave privada correspondente, e não deve fazê-lo. Se a VPN precisa de uma identidade de cliente, a chave tem de estar no porta-chaves e associada ao certificado, o que é uma verificação diferente de ver o certificado listado.

Verifique a confiança, mas apenas para o emissor certo

A Apple documenta que um certificado de raiz instalado manualmente através de um perfil não é automaticamente fidedigno para SSL. O ecrã Definições de Confiança de Certificados controla se essa raiz instalada manualmente é fidedigna, e ativá-la afeta todas as ligações que encadeiam nesse emissor, não apenas a VPN.

Essa amplitude é a razão para confirmar a configuração organizacional pretendida através de um canal verificado antes de mudar o interruptor. Uma AC privada de uma aplicação VPN pode ter um âmbito diferente de uma raiz de sistema, e ativar a raiz para corrigir uma aplicação pode alargar a confiança muito além do problema original.

Leia o erro antes de substituir seja o que for

Uma incompatibilidade de nome de anfitrião, um certificado folha expirado, uma cadeia incompleta e uma chave privada em falta são quatro falhas diferentes. Podem produzir mensagens visíveis ao utilizador semelhantes, por isso verifique o texto real do erro e a data e hora do dispositivo antes de substituir material.

Se o erro indica a identidade do servidor, o problema provavelmente não é de todo um certificado de cliente. Se indica um emissor não fidedigno, veja a cadeia e a definição de confiança. Substituir uma identidade de cliente funcional porque o certificado do servidor expirou desperdiça um dia e não muda nada.

Remova ou reinstale com um plano de recuperação

Remover um perfil pode remover definições e dados associados e, num dispositivo gerido, pode exigir o procedimento de retirada do administrador. Pergunte o que mais o perfil transporta antes de o eliminar e mantenha uma forma de restaurar a configuração se a ligação continuar a falhar.

O artigo de suporte da Apple descreve a instalação de perfis e o comportamento da confiança. Use-o para confirmar em que o dispositivo deve confiar e depois mude uma coisa de cada vez e teste a VPN de novo a partir de uma ligação nova.