Как должна выглядеть цепочка сертификации на IOS при подключении к Wi-Fi 802.1x?

Question

[Kivadratik]

Вопрос у меня такой:
В компании корпоративный wi-fi от Cisco c radius сервером для аутентификации по 802.1x, но ни один из перепробованных нами SSL сертификатов не подходит для IOS. Устройства apple отображают у себя в настройках эти сертификаты как untrusted в момент подключения к Wi-Fi, хотя при этом если web браузером safari зайти на любой сайт с этим же wildcard сертификатом браузер safari доверяет ему. Кто-нибудь сталкивался с такой проблемой? Список рутовых CA для IOS 9.x я видел и знаю его уже почти наизусть, но к сожалению сертификаты, подписанные корневыми из списка не являются trusted. На данный момент у меня wildcard RapidSSL, подписанный рутовым GeoTrust Global CA.

Comments

[Николай Корабельников]

Поясните, пожалуйста, что именно вы делаете: пытаетесь установить сертификат на клиента, чтобы с помощью него аутентифицироваться в wifi?

[Kivadratik]

Николай Корабельников: на моем Radius-сервере стоит SSL сертификат, когда клиент коннектится к wi-fi контроллер должен аутентифицировать его по 802.1x через радиус - соответственно iphone для того чтобы передать свои логин и пароль радиус серверу пытается построить с ним защищенный tls тоннель, но почему-то в этот момент в самой системе IOS мой сертификат считается недоверенным, и iphone предлагает принять этот недоверенный сертификат отсюда вопрос - почему и какой мне надо поставить сертификат, чтобы система IOS воспринимала его как доверенный сразу же?

Answer 1

[Николай Корабельников]

Вероятнее всего 802.1x не будет работать с wildcard сертификатом. Насколько я знаю, такое ограничение есть на клиентах windows. Возможно, это же справедливо и для iPhone.
Проверьте, как работает аутентификация с других устройств (например, ноутбук с windows или linux).
Еще возможно, iphone не может построить цепочку до корневого УЦ. Тогда на сервер надо добавить всю цепочку до корневого сертификата.

Comments

[Kivadratik]

На сервере и стоит вся цепочка, попробую поставить не wildcard