Як перевірити сертифікати VPN, інстальовані на iPhone

З'єднання VPN перестає працювати на iPhone, і перший порив — знайти сертифікат для виправлення. Перш ніж увімкнути корінь або видалити профіль, визначте, що насправді встановлено і яку роль воно відіграє. Сертифікат може ідентифікувати клієнта, ідентифікувати сервер або надати видавця, якому пристрій має довіряти, і ці три завдання мають різні області та різні шляхи виправлення. Порядок нижче починається з профілю, а потім звужується до ролі й рішення про довіру. Кожен крок залишає нотатку, з якою можна порівняти пізніше.

Почніть у розділі VPN і керування пристроєм

Відкрийте Параметри, потім Основні, потім VPN і керування пристроєм. Цей екран перелічує профілі конфігурації та стан керування пристроєм. Профіль може містити кілька корисних навантажень, тому відкрийте потрібний і прочитайте його джерело та навантаження сертифікатів, а не лише назву профілю.

Якщо пристрій під наглядом або зареєстрований у керуванні пристроями, деякі записи належать організації й не можуть редагуватися локально. Занотуйте джерело, перш ніж планувати будь-яку зміну, бо керований профіль, який ви видалите, зазвичай повертається.

Визначте, яку роль відіграє сертифікат

Сертифікат ідентичності клієнта пов'язаний із закритим ключем, що зберігається у зв'язці ключів пристрою. Сертифікат сервера подає шлюз, а клієнт його перевіряє. Кореневий або проміжний сертифікат — це видавець, якому пристрою пропонують довіряти. Перші два використовує з'єднання; третій змінює те, як працює перевірка для всього, що вибудовується в ланцюг до нього. Запишіть видавця, перш ніж щось змінити. Саме ця нотатка стане тим, із чим ви порівняєте, якщо довіра порушиться деінде.

Публічний показ сертифіката не обов'язково розкриває чи експортує відповідний закритий ключ і не повинен цього робити. Якщо VPN потрібна ідентичність клієнта, ключ має бути у зв'язці ключів і пов'язаний із сертифікатом, а це інша перевірка, ніж просто побачити сертифікат у списку.

Перевірте довіру, але лише для правильного видавця

Apple документує, що кореневий сертифікат, інстальований вручну через профіль, не отримує автоматичної довіри для SSL. Екран налаштувань довіри сертифікатів контролює, чи довіряють цьому вручну інстальованому кореню, і його ввімкнення впливає на кожне з'єднання, що вибудовується в ланцюг до цього видавця, а не лише на VPN.

Саме ця широта є причиною підтвердити передбачувану організаційну схему перевіреним каналом, перш ніж перемикати цей перемикач. Приватний CA застосунку VPN може мати область, відмінну від загальносистемного кореня, і ввімкнення кореня заради виправлення одного застосунку може розширити довіру далеко за межі початкової проблеми.

Прочитайте помилку, перш ніж щось замінювати

Розбіжність імені хоста, прострочений кінцевий сертифікат, неповний ланцюг і відсутній закритий ключ — це чотири різні несправності. Вони можуть давати схожі повідомлення, видимі користувачеві, тому перевірте фактичний текст помилки, а також дату й час на пристрої, перш ніж замінювати матеріали.

Якщо в помилці вказано ідентичність сервера, проблема, ймовірно, зовсім не в сертифікаті клієнта. Якщо вказано недовірений видавець, подивіться на ланцюг і налаштування довіри. Заміна робочої ідентичності клієнта через те, що сертифікат сервера прострочився, витрачає день і нічого не змінює.

Видаліть або переінсталюйте з планом відновлення

Видалення профілю може видалити пов'язані налаштування й дані, а на керованому пристрої може вимагати процедури виведення адміністратором. Запитайте, що ще містить профіль, перш ніж видаляти його, і збережіть спосіб відновити конфігурацію, якщо з'єднання досі не працює.

Стаття підтримки Apple описує інсталяцію профілів і поведінку довіри. Використайте її, щоб підтвердити, чому пристрій має довіряти, потім змінюйте по одній речі за раз і перевіряйте VPN знову з нового з'єднання.