VPN-toegang na 'n nuwe Mac skuif: wat eerste aangeteken moet word
'n Gekopieerde verbindingsnaam is nie 'n gemigreerde identiteit nie. Teken die kliënt, profielbron en magtigingsroete aan, en rig dan die nuwe Mac in en toets dit.
Die migrasie misluk stil: die verbinding verskyn in die kieslysbalk, die profiel voer in, en tog misluk verifikasie omdat die nuwe Mac nie 'n gemagtigde toestel is nie. Die ou Mac hou aan werk, wat die fout maklik maak om uit te stel tot die ou masjien weg is. 'n Kort inventaris voor die oorskakeling voorkom die meeste daarvan. Skryf neer waarvan die toegang afhang terwyl jy dit nog op die werkende masjien kan lees.
Inventariseer die toegang terwyl die ou Mac nog verbind
Begin by die kliënt en die protokol, nie by die verbindingsnaam nie. Die naam is 'n etiket wat die ou profiel gekies het; die kliëntweergawe, die protokol en die eindpunt is wat die nuwe masjien moet naboots. Teken ook die presiese gasheernaam van die eindpunt aan, want 'n verskaffer-skuif kan dit beweeg sonder om die etiket te verander.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Die identiteitsinskrywing weeg die swaarste. 'n Gebruikersnaam en eenmalige kode kan op die nuwe Mac ingevoer word, 'n sertifikaat met 'n uitvoerbare sleutel kan soms ingevoer word, en 'n toestelgebonde sertifikaat met 'n nie-uitvoerbare sleutel kan glad nie beweeg nie. Teken aan watter een jy het voordat jy die oorskakeling beplan. As twee van dié antwoorde bots, los die botsing op voordat jy enigiets kopieer.
Teken laastens die verwagte netwerkgedrag aan: volle tonnel of gesplete tonnel, watter interne name opgelos moet word, en of IPv6 binne die tonnel verwag word. Dit word die toetse wat besluit of die migrasie gewerk het.
Skei wat gekopieer kan word van wat heruitgereik moet word
Profiele op gebruikersvlak, bedieneradresse en voorkeure is gewoonlik oordraagbaar. Privaat sleutels, toestelsertifikate en inskrywingstekens is nie, want hul waarde hang daarvan af dat hulle aan een masjien gebind is. Behandel dié as heruitreik-items en vra die eienaar na die ondersteunde roete. Alles anders is 'n kandidaat om te kopieer. Die eienaar se proses, nie die migrasietowenaar nie, besluit watter kategorie geld.
Stop hier as die identiteit toestelgebonde is en daar geen heruitreikroete bestaan nie. Om met 'n gekopieerde sleutel voort te gaan, misluk óf by verifikasie óf, erger, laat dieselfde geloofsbriewe aktief op twee masjiene sonder enige rekord van die tweede een.
Moet nie 'n privaat sleutel of 'n herstelkode tydens die skuif in 'n nota of 'n kletsboodskap parkeer nie. Gebruik die sleutelhanger, die wagwoordbestuurder of die organisasie se escrow-proses, en skryf die verifikator weer in eerder as om sy saad te kopieer. 'n Migrasienota wat 'n geloofsbrief bevat, word 'n tweede kopie van die geloofsbrief.
Rig die nuwe Mac in deur die ondersteunde roete
As die Mac bestuur word, skryf dit in dieselfde bestuurstelsel in voordat jy enige handmatige konfigurasie byvoeg. Die bestuurstelsel besit die afgedwonge profiel, en 'n hand-ingevoerde profiel bo-op dit skep twee bronne van waarheid wat ná die volgende beleidsverandering verskil.
Op 'n onbestuurde Mac, installeer die kliënt uit die verskaffer se huidige aflaai en voer die profiel in deur die metode wat die verskaffer dokumenteer. Onlangse macOS-weergawes vereis goedkeuring vir VPN-konfigurasies en stelseluitbreidings in Privaatheid en Sekuriteit, en 'n uitbreiding mag dalk 'n herbegin nodig hê voordat die tonnel kan begin. Apple dokumenteer die handmatige VPN-opstelroete as jy dit met die verskaffer-app wil vergelyk.
Verwyder duplikaatdefinisies sodra die nuwe een werk. 'n Verouderde inskrywing in Netwerkinstellings en die app se eie profiel kan albei na dieselfde eindpunt wys, en die een wat verbind is nie altyd die een wat jy dink jy geredigeer het nie.
Toets die roetes wat die nuwe Mac werklik sal gebruik
Verbind en bevestig dat die tonnel verkeer dra, kyk dan na naamoplossing en roetering eerder as om die kieslysbalk-ikoon te vertrou. macOS rapporteer oplossers per koppelvlak, so die interne DNS-bediener behoort by die tonnelkoppelvlak te verskyn en interne name behoort daardeur opgelos te word. Beide opdragte hieronder lees net toestand.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Stop as 'n interne gasheernaam na 'n openbare adres oplos of as die verstekroete steeds na die fisiese koppelvlak wys terwyl die ontwerp 'n volle tonnel verwag. Beide is tekens dat die profiel sonder sy roetes ingevoer is of dat 'n ander konfigurasie dit oorheers.
Herhaal die toets ná slaap en ná aansluiting by 'n ander netwerk. 'n Verbinding wat die eerste aanmelding oorleef maar nie 'n deksel wat toegemaak word nie is 'n migrasie wat in daaglikse gebruik sal misluk, en om dit te vang voordat die ou Mac uitgevee word, is die punt van die kontrolelys.
Neem die ou Mac uit diens en herroep dit
Hou die ou toestel verbind tot die nuwe een die toetse hierbo slaag. Herroep dan die ou toestel deur die operateur se konsole of die bestuurstelsel; om die app van die ou Mac te verwyder, herroep nie sy identiteit nie, en 'n gekopieerde profiel kan steeds verifieer.
Verwyder ná herroeping die profiele, meld af by die rekening en vee die skyf uit as die masjien jou beheer verlaat. Kyk nog een keer na die verskaffer se toestellys om te bevestig die ou inskrywing is weg en die nuwe een is korrek gemerk.
As 'n gedeelde geheim of 'n span-geloofsbrief tydens die skuif gekopieer is, roteer dit nou eerder as om op die volgende geskeduleerde verandering te wag. Die migrasie is klaar wanneer die ou identiteit dood is, nie wanneer die nuwe ikoon groen word nie.