Как проверить сертификаты VPN, установленные на iPhone

Подключение VPN перестаёт работать на iPhone, и первая мысль — найти сертификат для исправления. Прежде чем включать корневой сертификат или удалять профиль, определите, что именно установлено и какую роль оно играет. Сертификат может идентифицировать клиента, идентифицировать сервер или предоставлять издателя, которому устройство должно доверять, и у этих трёх задач разные области и разные пути исправления. Порядок ниже начинается с профиля, а затем сужается до роли и решения о доверии. Каждый шаг оставляет заметку, с которой можно сравнить позже.

Начните с раздела VPN и управления устройством

Откройте Настройки, затем Основные, затем VPN и управление устройством. Этот экран перечисляет профили конфигурации и статус управления устройством. Профиль может содержать несколько полезных нагрузок, поэтому откройте нужный и прочитайте его источник и нагрузки сертификатов, а не только имя профиля.

Если устройство находится под надзором или зарегистрировано в управлении устройствами, некоторые записи принадлежат организации и не могут быть изменены локально. Зафиксируйте источник, прежде чем планировать любые изменения, потому что управляемый профиль, который вы удалите, обычно возвращается.

Определите, какую роль играет сертификат

Сертификат идентичности клиента связан с закрытым ключом, хранящимся в связке ключей устройства. Сертификат сервера предъявляет шлюз, а клиент его проверяет. Корневой или промежуточный сертификат — это издатель, которому устройству предлагают доверять. Первые два используются подключением; третий меняет то, как работает проверка для всего, что выстраивается в цепочку к нему. Запишите издателя, прежде чем что-либо менять. Именно эта заметка станет тем, с чем вы сравните, если доверие нарушится в другом месте.

Публичный просмотр сертификата не обязательно раскрывает или экспортирует соответствующий закрытый ключ и не должен этого делать. Если VPN нужна идентичность клиента, ключ должен присутствовать в связке ключей и быть связан с сертификатом, а это другая проверка, чем просто увидеть сертификат в списке.

Проверьте доверие, но только для нужного издателя

Apple документирует, что корневой сертификат, установленный вручную через профиль, не получает автоматического доверия для SSL. Экран настроек доверия сертификатов управляет тем, доверяют ли этому вручную установленному корню, и его включение влияет на каждое подключение, выстраивающееся в цепочку к этому издателю, а не только на VPN.

Именно из-за этой широты стоит подтвердить предполагаемую организационную схему по проверенному каналу, прежде чем переключать этот переключатель. Частный CA приложения VPN может иметь область, отличную от общесистемного корня, и включение корня ради исправления одного приложения может расширить доверие далеко за пределы исходной проблемы.

Прочитайте ошибку, прежде чем что-либо заменять

Несовпадение имени хоста, истёкший конечный сертификат, неполная цепочка и отсутствующий закрытый ключ — это четыре разные неисправности. Они могут давать похожие сообщения, видимые пользователю, поэтому проверьте фактический текст ошибки, а также дату и время на устройстве, прежде чем заменять материалы.

Если в ошибке указана идентичность сервера, проблема, вероятно, вовсе не в сертификате клиента. Если указан недоверенный издатель, посмотрите на цепочку и настройку доверия. Замена рабочей идентичности клиента из-за истечения сертификата сервера тратит день и ничего не меняет.

Удалите или переустановите с планом восстановления

Удаление профиля может удалить связанные настройки и данные, а на управляемом устройстве может потребовать процедуры вывода администратором. Спросите, что ещё содержит профиль, прежде чем удалять его, и сохраните способ восстановить конфигурацию, если подключение по-прежнему не работает.

Статья поддержки Apple описывает установку профилей и поведение доверия. Используйте её, чтобы подтвердить, чему устройство должно доверять, затем меняйте по одной вещи и проверяйте VPN заново со свежего подключения.