ما يحتويه تصدير VPN على Mac وما يتركه وراءه
يحمل تصدير VPN على Mac الإعدادات وأحيانًا مفتاحًا خاصًا، لكن ليس كلمة مرور سلسلة المفاتيح ولا تسجيل الجهاز. افحص كل جزء أولًا.
انقر على تصدير في أحد عملاء VPN على Mac وستحصل على ملف يصف اتصالًا دون أن يكون اتصالًا. عنوان الخادم والمنفذ والبروتوكول وكثيرًا ما تكون الشهادات بداخله. أما كلمة مرور تسجيل الدخول وعبارة مرور المفتاح الخاص والتسجيل الذي يصرّح لهذا الـ Mac تحديدًا فعادةً لا تكون. لهذا يمكن أن يُستورد ملف التعريف بنظافة ويظهر في قائمة العميل ثم يفشل عند أول طلب مصادقة؛ الفجوة خاصية في الصيغة وليست تنزيلًا تالفًا.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
ما يحتويه الملف المُصدَّر فعليًا
التصدير وعاء، و امتداد الملف يخبرك بأقل مما يخبرك المحتوى. ملفات تعريف OpenVPN نصية: توجيهات، مع كتل <ca> و <cert> و <key> المضمنة الاختيارية. إعدادات Tunnelblick أرشيفات مضغوطة من التكوينات والإعدادات. ملف .mobileconfig المُدار هو plist من الحمولات. قائمتان تجيبان عن معظم السؤال قبل أن تستورد أي شيء.
بالنسبة لملف تعريف نصي، احسب كتل PEM التي يحملها: grep -c "PRIVATE KEY" your-profile.ovpn. النتيجة غير الصفرية تعني أن الملف يحمل مادة مفتاح ويجب التعامل معه ككلمة مرور من تلك اللحظة. وبالنسبة لأرشيف، اسرده دون استخراجه: tar -tf export.tbz أو unzip -l export.zip إذا أنتج العميل ملف zip. ملفات المفاتيح والشهادات والنصوص البرمجية للرفع أو الإنزال في ذلك السرد هي الأجزاء التي لن يعيد حساب مستخدم مُصدر من جديد إنشاءها.
الحالة المعاكسة لا تقل أهمية. عندما يشير ملف التعريف إلى مفتاح باسم الملف بدلًا من تضمينه، يكون التصدير ناقصًا عن قصد ويجب أن يأتي النصف الناقص ممن أصدره. نسخ ذلك الملف إلى جانبه مقبول عندما تملك جهة إصدار الشهادات؛ وغير مقبول عندما جاء الملف مع شهادة مرتبطة بالجهاز وُلِّدت على الـ Mac القديم.
لماذا لا يرتحل نصف سلسلة المفاتيح أبدًا
يحفظ macOS كلمات مرور VPN وعبارات مرور المفاتيح في سلسلة مفاتيح تسجيل الدخول، ويخزنها العملاء هناك بدلًا من ملفات إعداداتهم. يقول Tunnelblick ذلك في دليل التصدير والاستيراد: يحمل أرشيف الإعداد التكوينات والإعدادات ويترك أسماء المستخدمين وكلمات المرور وعبارات المرور المحفوظة في سلسلة المفاتيح. الحذف متعمد. عناصر سلسلة المفاتيح محمية لكل مستخدم ولكل جهاز، فالعنصر المنسوخ لا يملك تحكمًا صالحًا بالوصول على الوجهة، ما يترك إما ملفًا عديم الفائدة أو سرًا بنص صريح.
يمكنك تأكيد مكان تخزين بيانات الاعتماد قبل التخطيط للنقل. يطبع security find-internet-password -s vpn.example.com سمات عنصر مطابق وينتهي برمز غير صفري عندما لا يوجد أي عنصر؛ الأمر نفسه مع -g سيطلب الكشف عن كلمة المرور، ولهذا يكون الاستعلام دونها الفحص الأكثر أمانًا. وجود نتيجة هناك يعني أن ملف التعريف لا يحمل كلمة المرور ولا يمكن إجباره على ذلك. يعني أيضًا أن كلمة المرور ستُطلب مجددًا على الـ Mac الجديد، وأن منح «السماح دائمًا» على القديم لا يُحتسب هناك.
ليست كل سرية عنصرًا في سلسلة المفاتيح. توثيق حزمة Tunnelblick نفسه يذكر أن الحزمة قد تحتوي ملفات مفاتيح وشهادات ونصوص برمجية. لذا فإن استبعاد التصدير لمدخلات سلسلة المفاتيح ليس الادعاء نفسه بأن التصدير آمن للإرسال بالبريد؛ تعامل مع الأرشيف كحساس حتى تسرد ما بداخله.
الشبكات الافتراضية الأصلية والمدارة ليس لها مسار تصدير
الاتصالات المهيأة عبر إعدادات النظام لا توفر تصديرًا مدعومًا. يعرض scutil --nc list الخدمات التي يعرفها النظام، ويطبع scutil --nc show "Work VPN" تكوين خدمة واحدة، وهو ما يكفي لقراءة خادمها وبروتوكولها. لا أداة منهما أداة ترحيل. معرّفات الخدمات المخزنة في /Library/Preferences/SystemConfiguration/preferences.plist هي مراجع داخل ذلك الملف، لذا فنسخ الملف وإعادة كتابة المعرّفات ليس نقلًا مدعومًا وقد يخلط خدمات شبكة غير ذات صلة على الوجهة.
المسار المدعوم هو الذي يوثقه Apple: ثبّت ملف إعدادات VPN يوفره المسؤول، أو أدخل الإعدادات التي يعطيك إياها المشغّل. عندما يكون الاتصال مُدارًا، اطلب ملفًا جديدًا أو تسجيلًا جديدًا بدلًا من إعادة بنائه من لقطة شاشة للحوار القديم. وفي ملف تعريف يدفعه MDM، قد تحمل حمولة الشهادة الهوية بينما يُولَّد المفتاح الخاص على الجهاز، وفي تلك الحالة لا يمكن حتى لنسخة سليمة تمامًا من ملف التعريف القديم مصادقة الـ Mac الجديد.
تحقق من الاستعادة بدلًا من الوثوق بالقائمة
ملف التعريف في القائمة ونفق عامل حالتان مختلفتان، وواحدة فقط منهما تستحق الإبلاغ. بعد الاستيراد والاتصال، تحقق من وجود واجهة النفق، ثم تحقق مما يفعله النفق.
ifconfig | grep -A3 utun يعرض واجهة النفق وعناوينها. scutil --dns | grep nameserver يعرض أي المحلّلات نشطة بعد الاتصال، وهنا تختلف ملفات تعريف split-DNS عادة. ثم اصل إلى المورد الذي يهم فعلًا: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. نجاح الثلاثة يعني أن الإعدادات وDNS والمسارات وصلت؛ أما أيقونة خضراء في العميل فلا تعني شيئًا من ذلك بحد ذاتها.
فشلان يظهران كثيرًا بعد الاستيراد وكلاهما يُلام عليه الملف. حلّ الأسماء العامة دون الداخلية يعني عادةً أن خوادم DNS في ملف التعريف أُسقطت أو أن split-DNS لم يُحفظ. النفق الذي يقوم ولا يمرر أي حركة يعني عادةً أن المسارات أو تصريح جهة الخادم لم يتبع ملف التعريف. إعادة استيراد الأرشيف نفسه تعيد إنتاج الاثنين.
قبل أن تتقاعد الـ Mac القديم
حذف التصدير ليس إبطالًا. إذا صادق الجهاز القديم بشهادة، فما زال الخادم يثق بتلك الشهادة حتى تُبطل أو تُصدر من جديد. وإذا صادق بحساب مشترك، فقد تكون الجلسات على ذلك الحساب ما زالت حية. نفّذ خطوة جهة الخادم بينما العتاد ما زال أمامك.
خزّن ملف التعريف الجديد مع بقية بيانات اعتمادك عندما يحتوي على مفتاح، واكتب كلمة المرور في العميل لتستقر في سلسلة المفاتيح الجديدة لا في ملف. آخر فحص: اتصل من الجهاز البديل والـ Mac القديم مغلق. أما التسليم الذي يعمل فقط ما دام الجهاز المصدر متصلًا فلم يكن كاملًا قط.