Um iPhone pode reutilizar o perfil OpenVPN do seu Mac?

Uma conexão de Mac que funciona não é um modelo para um telefone, mesmo quando os dois usam a mesma conta e o mesmo servidor. O perfil de Mac pode guardar certificados em arquivos separados, usar diretivas que só fazem sentido num computador e depender de uma identidade que o operador emitiu apenas para aquela máquina. Um telefone precisa do seu próprio pacote, da sua própria identidade e do seu próprio caminho de importação. Separar a questão de política da questão de empacotamento é a maior parte do trabalho.

Pergunte ao operador duas coisas antes de copiar qualquer coisa: se a conta pode funcionar em mais do que um dispositivo e se o telefone deve receber o seu próprio certificado.

A reutilização é primeiro uma questão de política, depois técnica

Um certificado de cliente é uma identidade, e colocar uma identidade em dois dispositivos significa que o servidor não consegue distingui-los nos registos, nas regras de acesso ou numa revogação. Algumas implementações aceitam isso e permitem explicitamente nomes comuns duplicados; a maioria não, e o segundo dispositivo é recusado ou deixa o primeiro offline. Um nome de utilizador e uma palavra-passe partilhados não tornam um certificado partilhado adequado. Obtenha a resposta do operador por escrito antes de planear qualquer transferência.

O lado da auditoria importa tanto quanto. Se o telefone se perder, revogar um certificado que o Mac também usa desliga os dois dispositivos, e deixá-lo válido deixa um telefone com acesso VPN a funcionar. Um certificado por dispositivo transforma a resposta à perda numa única revogação, e é exatamente por isso que existe o passo extra de inscrição.

O perfil do Mac e o perfil do telefone diferem na prática

Num computador, um ficheiro .ovpn pode estar ao lado de uma CA, um certificado e uma chave em ficheiros separados, e pode transportar hooks, scripts e caminhos que só fazem sentido naquele sistema operativo. Um cliente móvel normalmente quer essas peças incorporadas ou fornecidas através de um pacote PKCS#12 com palavra-passe, e ignora ou rejeita diretivas que não consegue cumprir. Copiar o ficheiro do Mac produz muitas vezes uma importação que falha, ou uma que liga com metade das opções em falta. A solução é um pacote móvel mantido pelo operador, não um ficheiro editado à mão com as linhas incómodas apagadas.

Trate qualquer ficheiro que contenha uma chave privada como uma credencial e não como uma configuração. As transferências de perfis passam por canais protegidos por esse motivo, e uma cópia deixada numa conversa ou numa pasta de transferências é um segredo vivo com um nome de ficheiro amigável.

Importe pelo fluxo próprio do telefone

Instale a aplicação oficial OpenVPN Connect e depois introduza o perfil pelo seu fluxo de importação, quer como ficheiro quer como URL de ligação fornecida pelo operador. Num telefone não gerido, a aplicação pede autorização para adicionar uma configuração VPN, que é o passo de confirmação do próprio sistema. Siga as indicações de conta e MFA tal como aparecem em vez de preencher valores emprestados do Mac. Se a importação for bem-sucedida e a ligação não, o problema está no conteúdo do perfil e não na transferência.

Num telefone gerido, o administrador pode restringir a importação ou a edição do perfil através do canal de gestão de dispositivos móveis. Uma aplicação restrita não é um quebra-cabeças para vencer; use o caminho de inscrição do administrador, porque esse caminho também determina o que acontece quando o telefone é substituído.

Prove o telefone de forma independente

Abra um recurso privado a partir do telefone em dados móveis com o Wi-Fi desligado, para que o pedido não possa seguir silenciosamente outro caminho. O Mac continuar ligado não prova nada sobre as rotas, o DNS ou a aceitação de credenciais do telefone. Depois compare os dois dispositivos: um nome de anfitrião interno que resolve no Mac e falha no telefone aponta para definições de DNS diferentes entre os pacotes. Registe o nome do perfil, a identidade do dispositivo e quem o inscreveu.

Quando algo falha, guarde a mensagem exata e a versão da aplicação. Um erro de importação e um erro de ligação vêm de camadas diferentes, e fundi-los num único relatório desperdiça uma ronda. Um perfil que importa limpo prova apenas que o ficheiro foi analisado.

Depois da inscrição, elimine as cópias de transferência de acordo com a sua política de retenção e documente um caminho de reinscrição. Um telefone de substituição deve receber uma identidade nova, não uma cópia da antiga.