Wat ’n Mac-VPN-uitvoer bevat, en wat dit agterlaat

Klik op Export in ’n Mac-VPN-kliënt en jy kry ’n lêer wat ’n verbinding beskryf sonder om een te wees. Bedieneradres, poort, protokol en dikwels die sertifikate sit daarin. Die aanmeldwagwoord, die wagfrase op ’n private sleutel en die inskrywing wat juis hierdie Mac magtig, is gewoonlik nie daar nie. Daarom kan ’n profiel skoon invoer, in die kliëntlys verskyn en steeds by die eerste bekragtigingsvraag misluk; die gaping is ’n eienskap van die formaat, nie ’n beskadigde aflaai nie.

Wat die uitgevoerde lêer werklik bevat

’n Uitvoer is ’n houer, en die lêernaam vertel minder as die inhoud. OpenVPN-profiele is teks: opdragte, plus opsionele inline-<ca>, <cert> en <key>-blokke. Tunnelblick-opstellings is saamgeperste argiewe van konfigurasies en instellings. ’n Bestuurde .mobileconfig is ’n plist van vragte. Twee lyste beantwoord die meeste van die vraag voordat jy enigiets invoer.

Vir ’n teksprofiel, tel die PEM-blokke wat dit bevat: grep -c "PRIVATE KEY" your-profile.ovpn. ’n Nie-nul resultaat beteken die lêer bevat sleutelmateriaal en moet van daardie punt af soos ’n wagwoord hanteer word. Vir ’n argief, lys dit sonder om dit uit te pak: tar -tf export.tbz, of unzip -l export.zip as die kliënt ’n zip gemaak het. Sleutellêers, sertifikaatlêers en op- of af-skripte in daardie lys is die dele wat ’n heruitgereikte gebruikersrekening nie sal herskep nie.

Die teenoorgestelde geval maak net so saak. Wanneer die profiel per lêernaam na ’n sleutel wys in plaas daarvan om dit in te sluit, is die uitvoer doelbewus onvolledig en moet die ontbrekende helfte kom van wie dit uitgereik het. Om daardie lêer saam te kopieer is reg as jy die sertifikaatowerheid besit; dit is nie reg as die lêer saam met ’n toestelgebonde sertifikaat gekom het wat op die ou Mac gegenereer is nie.

Waarom die keychain-helfte nooit saamreis nie

macOS hou VPN-wagwoorde en sleutelwagfrases in die aanmeld-keychain, en kliënte stoor hulle daar eerder as in hul eie instellingslêers. Tunnelblick sê so in sy uitvoer- en invoergids: die opstelargief dra konfigurasies en instellings en laat die gebruikersname, wagwoorde en wagfrases weg wat in die keychain gehou word. Die weglating is doelbewus. Keychain-items word per gebruiker en per masjien beskerm, so ’n gekopieerde item het geen geldige toegangsbeheer op die bestemming nie, wat óf ’n nuttelose lêer óf ’n gewone-teks geheim laat.

Jy kan bevestig waar die geloofsbrief woon voordat jy die skuif beplan. security find-internet-password -s vpn.example.com druk attribute vir ’n passende item uit en eindig met ’n nie-nul kode wanneer daar geen is nie; dieselfde opdrag met -g sou vra om die wagwoord te openbaar, daarom is die navraag sonder dit die veiliger toets. ’n Treffer daar beteken die profiel dra nie die wagwoord nie en kan nie gedwing word om dit te doen nie. Dit beteken ook die wagwoord sal weer op die nuwe Mac gevra word, en ’n Always Allow-toestemming op die oue tel daar niks.

Nie elke geheim is egter ’n keychain-item nie. Tunnelblick se eie pakketdokumentasie noem dat ’n pakket sleutel-, sertifikaat- en skriptlêers kan bevat. Dus is die uitvoer wat keychain-inskrywings uitsluit nie dieselfde bewering as dat die uitvoer veilig is om per e-pos te stuur nie; hanteer die argief as sensitief totdat jy gelys het wat daarin is.

Inheemse en bestuurde VPN’s het geen uitvoerpad nie

Verbindings wat deur Stelselinstellings opgestel is, bied geen ondersteunde uitvoer nie. scutil --nc list wys die dienste wat die stelsel ken, en scutil --nc show "Work VPN" druk een diens se konfigurasie uit, genoeg om sy bediener en protokol te lees. Nie een is ’n migrasiegereedskap nie. Die diens-identifiseerders wat in /Library/Preferences/SystemConfiguration/preferences.plist gestoor is, is verwysings in daardie lêer, so om die lêer te kopieer en identifiseerders te herskryf is nie ’n ondersteunde oordrag nie en kan onverwante netwerkdienste op die bestemming versteur.

Die ondersteunde roete is die een wat Apple dokumenteer: installeer ’n VPN-instellingslêer wat deur ’n administrateur verskaf is, of voer die instellings in wat die operateur jou gee. Wanneer die verbinding bestuur word, vra vir ’n nuwe lêer of ’n nuwe inskrywing eerder as om dit uit ’n skermskoot van die ou dialoog te herbou. Vir ’n profiel wat deur MDM gestoot word, kan die sertifikaatvrag die identiteit dra terwyl die private sleutel op die toestel gegenereer word, en in daardie geval kan selfs ’n foutlose kopie van die ou profiel nie die nuwe Mac bekragtig nie.

Verifieer die herstel eerder as om die lys te vertrou

’n Profiel in die lys en ’n werkende tonnel is twee verskillende toestande, en net een van hulle is werd om te rapporteer. Nadat jy ingevoer en gekoppel het, kyk of die tonnelkoppelvlak bestaan, en kyk dan wat die tonnel doen.

ifconfig | grep -A3 utun wys die tonnelkoppelvlak en sy adresse. scutil --dns | grep nameserver wys watter oplossers na die verbinding aktief is, en dit is waar split-DNS-profiele gewoonlik verskil. Bereik dan die hulpbron wat werklik saak maak: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. As al drie slaag, het instellings, DNS en roetes aangekom; ’n groen ikoon in die kliënt beteken niks daarvan op sigself nie.

Twee mislukkings kom dikwels ná ’n invoer voor en albei word aan die lêer verwyt. Openbare name wat oplos terwyl interne nie oplos nie, beteken gewoonlik die profiel se DNS-bedieners is laat vaar of split-DNS is nie bewaar nie. ’n Tonnel wat opkom en geen verkeer deurlaat nie, beteken gewoonlik roetes of bedienerkant-magtiging het nie die profiel gevolg nie. Om dieselfde argief weer in te voer, reproduseer albei.

Voordat jy die ou Mac aftree

Om die uitvoer te verwyder is nie herroeping nie. As die ou toestel met ’n sertifikaat bekragtig het, vertrou die bediener daardie sertifikaat steeds totdat dit herroep of heruitgereik word. As dit met ’n gedeelde rekening bekragtig het, kan sessies op daardie rekening nog lewendig wees. Doen die bedienerkant-stap terwyl die hardeware nog voor jou is.

Stoor die nuwe profiel saam met jou ander geloofsbriewe wanneer dit ’n sleutel bevat, en tik die wagwoord in die kliënt sodat dit in die nuwe keychain beland eerder as in ’n lêer. Laaste toets: koppel vanaf die vervanging terwyl die ou Mac afgeskakel is. ’n Oorhandiging wat net werk terwyl die bronmasjien aanlyn is, was nooit volledig nie.