Kontrollera VPN-certifikat som är installerade på en iPhone

En VPN-anslutning slutar fungera på en iPhone och den första impulsen är att leta efter ett certifikat att åtgärda. Innan du aktiverar en rot eller tar bort en profil, identifiera vad som faktiskt är installerat och vilken roll det har. Ett certifikat kan identifiera klienten, identifiera servern eller tillhandahålla en utfärdare som enheten ska lita på, och de tre uppgifterna har olika omfattning och olika reparationsvägar. Ordningen nedan börjar med profilen och smalnar sedan av till rollen och förtroendebeslutet. Varje steg lämnar en anteckning som du kan jämföra senare.

Börja i VPN och enhetshantering

Öppna Inställningar, sedan Allmänt och sedan VPN och enhetshantering. Den här skärmen listar konfigurationsprofiler och enhetens hanteringsstatus. En profil kan innehålla flera nyttolaster, så öppna den relevanta och läs dess källa och dess certifikatnyttolaster i stället för att läsa profilnamnet.

Om enheten är övervakad eller registrerad i enhetshantering ägs vissa poster av organisationen och kan inte redigeras lokalt. Notera källan innan du planerar någon ändring, eftersom en hanterad profil som du tar bort vanligtvis kommer tillbaka.

Identifiera vilken roll certifikatet har

Ett klientidentitetscertifikat är kopplat till en privat nyckel som lagras i enhetens nyckelring. Ett servercertifikat presenteras av gatewayen och valideras av klienten. Ett rot- eller mellancertifikat är en utfärdare som enheten uppmanas lita på. De två första används av anslutningen; det tredje ändrar hur validering fungerar för allt som kedjar till det. Skriv ner utfärdaren innan du ändrar något. Den anteckningen är det du jämför mot om förtroendet brister någon annanstans.

En offentlig certifikatvisning avslöjar eller exporterar inte nödvändigtvis den matchande privata nyckeln och bör inte göra det. Om VPN behöver en klientidentitet måste nyckeln finnas i nyckelringen och vara kopplad till certifikatet, vilket är en annan kontroll än att se certifikatet listat.

Kontrollera förtroendet, men bara för rätt utfärdare

Apple dokumenterar att ett rotcertifikat som installerats manuellt via en profil inte automatiskt är betrott för SSL. Skärmen inställningar för certifikatförtroende styr om den manuellt installerade roten är betrodd, och att aktivera den påverkar varje anslutning som kedjar till den utfärdaren, inte bara VPN.

Den bredden är skälet att bekräfta den avsedda organisatoriska uppsättningen via en verifierad kanal innan du vänder strömbrytaren. En privat CA för en VPN-app kan ha en annan omfattning än en systemomfattande rot, och att aktivera roten för att åtgärda en app kan vidga förtroendet långt bortom det ursprungliga problemet.

Läs felet innan du ersätter något

En värdnamnsmissmatchning, ett utgånget löv certifikat, en ofullständig kedja och en saknad privat nyckel är fyra olika fel. De kan ge liknande användarsynliga meddelanden, så kontrollera den faktiska feltexten samt enhetens datum och tid innan du ersätter material.

Om felet anger serverns identitet är problemet förmodligen inte ett klientcertifikat alls. Om det anger en ej betrodd utfärdare, titta på kedjan och förtroendeinställningen. Att ersätta en fungerande klientidentitet eftersom servercertifikatet gick ut slösar bort en dag och ändrar ingenting.

Ta bort eller installera om med en återställningsplan

Att ta bort en profil kan ta bort tillhörande inställningar och data, och på en hanterad enhet kan det kräva administratörens avvecklingsrutin. Fråga vad profilen mer bär innan du tar bort den, och behåll ett sätt att återställa konfigurationen om anslutningen fortfarande misslyckas.

Apples supportsida beskriver profilinstallation och förtroendebeteende. Använd den för att bekräfta vad enheten ska lita på, ändra sedan en sak i taget och testa VPN igen från en ny anslutning.