Cum se verifică certificatele VPN instalate pe un iPhone

O conexiune VPN încetează să funcționeze pe un iPhone, iar primul instinct este să cauți un certificat pentru a o repara. Înainte de a activa o rădăcină sau de a șterge un profil, identificați ce este de fapt instalat și ce rol joacă. Un certificat poate identifica clientul, poate identifica serverul sau poate furniza un emitent în care dispozitivul ar trebui să aibă încredere, iar aceste trei sarcini au sfere diferite și căi de reparare diferite. Ordinea de mai jos începe cu profilul, apoi se restrânge la rol și la decizia de încredere. Fiecare pas lasă o notă pe care o puteți compara mai târziu.

Începeți cu VPN și gestionarea dispozitivului

Deschideți Setări, apoi General, apoi VPN și gestionarea dispozitivului. Acest ecran listează profilurile de configurare și starea de gestionare a dispozitivului. Un profil poate conține mai multe încărcături, așa că deschideți-l pe cel relevant și citiți sursa și încărcăturile de certificat, în loc să citiți numele profilului.

Dacă dispozitivul este supravegheat sau înrolat în gestionarea dispozitivelor, unele intrări aparțin organizației și nu pot fi editate local. Notați sursa înainte de a planifica orice modificare, deoarece un profil gestionat pe care îl ștergeți de obicei revine.

Identificați ce rol joacă certificatul

Un certificat de identitate a clientului este asociat cu o cheie privată stocată în brelocul dispozitivului. Un certificat de server este prezentat de gateway și validat de client. Un certificat rădăcină sau intermediar este un emitent în care dispozitivul este rugat să aibă încredere. Primele două sunt folosite de conexiune; al treilea schimbă modul în care funcționează validarea pentru tot ce se înlănțuie la el. Notați emitentul înainte de a schimba ceva. Acea notă este ceea cu care comparați dacă încrederea se rupe în altă parte.

Afișarea publică a unui certificat nu expune sau exportă neapărat cheia privată corespunzătoare și nici nu ar trebui. Dacă VPN-ul are nevoie de o identitate de client, cheia trebuie să fie prezentă în breloc și asociată cu certificatul, ceea ce este o verificare diferită de a vedea certificatul listat.

Verificați încrederea, dar numai pentru emitentul corect

Apple documentează că un certificat rădăcină instalat manual printr-un profil nu este automat de încredere pentru SSL. Ecranul Setări de încredere a certificatelor controlează dacă acea rădăcină instalată manual este de încredere, iar activarea lui afectează fiecare conexiune care se înlănțuie la acel emitent, nu doar VPN-ul.

Această amploare este motivul pentru a confirma configurația organizațională dorită printr-un canal verificat înainte de a comuta întrerupătorul. O AC privată a unei aplicații VPN poate avea o sferă diferită de o rădăcină la nivel de sistem, iar activarea rădăcinii pentru a repara o aplicație poate lărgi încrederea mult dincolo de problema inițială.

Citiți eroarea înainte de a înlocui ceva

O nepotrivire de nume de gazdă, un certificat frunză expirat, un lanț incomplet și o cheie privată lipsă sunt patru eșecuri diferite. Pot produce mesaje similare vizibile utilizatorului, așa că verificați textul real al erorii și data și ora dispozitivului înainte de a înlocui materialul.

Dacă eroarea numește identitatea serverului, problema probabil nu este deloc un certificat de client. Dacă numește un emitent neîncrezut, uitați-vă la lanț și la setarea de încredere. Înlocuirea unei identități de client funcționale pentru că certificatul serverului a expirat pierde o zi și nu schimbă nimic.

Eliminați sau reinstalați cu un plan de recuperare

Eliminarea unui profil poate elimina setări și date asociate, iar pe un dispozitiv gestionat poate necesita procedura de retragere a administratorului. Întrebați ce altceva conține profilul înainte de a-l șterge și păstrați o modalitate de a restaura configurația dacă conexiunea încă eșuează.

Articolul de asistență Apple descrie instalarea profilurilor și comportamentul încrederii. Folosiți-l pentru a confirma în ce ar trebui să aibă încredere dispozitivul, apoi schimbați câte o singură chestie și testați din nou VPN-ul dintr-o conexiune nouă.