Mac VPN ixracının nəyi ehtiva etdiyi və nəyi geridə qoyduğu

Mac VPN müştərisində Export düyməsinə basın və əlaqəni təsvir edən, amma özü əlaqə olmayan bir fayl əldə edirsiniz. Server ünvanı, port, protokol və çox vaxt sertifikatlar onun içindədir. Giriş parolu, şəxsi açarın parol ifadəsi və məhz bu Mac-a icazə verən qeydiyyat isə adətən içində olmur. Buna görə profil təmiz şəkildə idxal oluna, müştəri siyahısında görünə və yenə də ilk autentifikasiya sorğusunda uğursuz ola bilər; boşluq formatın xassəsidir, zədələnmiş yükləmə deyil.

İxrac edilən fayl əslində nə ehtiva edir

İxrac bir konteynerdir və fayl uzantısı məzmundan daha az şey deyir. OpenVPN profilləri mətndir: direktivlər, üstəgəl istəyə bağlı inline <ca>, <cert> və <key> blokları. Tunnelblick quraşdırmaları konfiqurasiya və parametrlərdən ibarət sıxılmış arxivlərdir. İdarə olunan .mobileconfig yüklərdən ibarət plist-dir. İki siyahı heç nə idxal etməzdən əvvəl sualın çoxunu cavablandırır.

Mətn profilində daşıdığı PEM bloklarını sayın: grep -c "PRIVATE KEY" your-profile.ovpn. Sıfırdan fərqli nəticə faylın açar materialı saxladığını və o andan etibarən parol kimi davranılmalı olduğunu bildirir. Arxiv üçün onu açmadan siyahıya alın: tar -tf export.tbz, və ya müştəri zip yaradıbsa unzip -l export.zip. Həmin siyahıdakı açar faylları, sertifikat faylları və yuxarı və ya aşağı skriptlər istifadəçi hesabının yenidən verilməsi ilə bərpa olunmayan hissələrdir.

Əks hal da eyni dərəcədə vacibdir. Profil açarı daxil etmək əvəzinə fayl adı ilə göstərirsə, ixrac qəsdən natamamdır və çatışmayan yarısı onu verən tərəfdən gəlməlidir. Sertifikat orqanı sizə məxsusdursa, o faylı yanında köçürmək qaydasındadır; fayl köhnə Mac-da yaradılmış cihaza bağlı sertifikatla gəlibsə, qaydasında deyil.

Niyə keychain yarısı heç vaxt köçmür

macOS VPN parollarını və açar parol ifadələrini giriş keychain-də saxlayır və müştərilər onları öz parametr fayllarında deyil, orada saxlayır. Tunnelblick bunu öz ixrac və idxal təlimatında deyir: quraşdırma arxivi konfiqurasiyaları və parametrləri daşıyır, keychain-də saxlanan istifadəçi adlarını, parolları və parol ifadələrini isə kənarda qoyur. Buraxma qəsdəndir. Keychain elementləri hər istifadəçi və hər maşın üzrə qorunur, ona görə kopyalanmış elementin təyinat yerində etibarlı giriş nəzarəti olmur; bu da ya faydasız fayl, ya da açıq mətn sirri qoyur.

Köçürməyi planlaşdırmadan əvvəl etimad məlumatının harada yaşadığını təsdiqləyə bilərsiniz. security find-internet-password -s vpn.example.com uyğun element üçün atributları çap edir və heç biri yoxdursa sıfırdan fərqli kodla çıxır; eyni əmr -g ilə parolu açmağı təklif edərdi, buna görə onsuz sorğu daha təhlükəsiz yoxlamadır. Orada nəticə tapmaq profilin parolu daşımadığını və buna məcbur edilə bilməyəcəyini bildirir. Həm də bildirir ki, parol yeni Mac-da yenidən soruşulacaq və köhnədə verilən «Həmişə icazə ver» qrantı orada heç nə sayılmır.

Amma hər sirr keychain elementi deyil. Tunnelblick-in öz paket sənədləri paketin açar, sertifikat və skript faylları ehtiva edə biləcəyini qeyd edir. Yəni ixracın keychain qeydlərini kənarda qoyması, ixracın e-poçtla göndərilməsinin təhlükəsiz olması iddiası ilə eyni deyil; içindəkiləri siyahıya alana qədər arxivə həssas kimi yanaşın.

Yerli və idarə olunan VPN-lərin ixrac yolu yoxdur

Sistem Parametrləri vasitəsilə konfiqurasiya edilmiş əlaqələr dəstəklənən ixrac təklif etmir. scutil --nc list sistemin bildiyi xidmətləri göstərir və scutil --nc show "Work VPN" bir xidmətin konfiqurasiyasını çap edir, serverini və protokolunu oxumaq üçün kifayətdir. Heç biri miqrasiya aləti deyil. /Library/Preferences/SystemConfiguration/preferences.plist daxilində saxlanan xidmət identifikatorları həmin fayla istinadlardır, ona görə faylı kopyalamaq və identifikatorları yenidən yazmaq dəstəklənən köçürmə deyil və təyinat yerində əlaqəsiz şəbəkə xidmətlərini poza bilər.

Dəstəklənən yol Apple-ın sənədləşdirdiyi yoldur: administratorun verdiyi VPN parametr faylını quraşdırın və ya operatorun sizə verdiyi parametrləri daxil edin. Əlaqə idarə olunursa, onu köhnə dialoqun ekran şəklindən yenidən qurmaq əvəzinə təzə fayl və ya təzə qeydiyyat istəyin. MDM tərəfindən göndərilən profil üçün sertifikat yükü kimliyi daşıya bilər, şəxsi açar isə cihazda yaradılır; bu halda köhnə profilin qüsursuz kopyası belə yeni Mac-ı autentifikasiya edə bilməz.

Siyahıya güvənmək əvəzinə bərpanı yoxlayın

Siyahıdakı profil və işləyən tunel iki fərqli vəziyyətdir və yalnız biri hesabat verməyə dəyər. İdxal edib qoşulduqdan sonra tunel interfeysinin mövcud olduğunu yoxlayın, sonra tunelin nə etdiyini yoxlayın.

ifconfig | grep -A3 utun tunel interfeysini və ünvanlarını göstərir. scutil --dns | grep nameserver qoşulmadan sonra hansı resolverlərin aktiv olduğunu göstərir və split-DNS profilləri adətən burada ayrılır. Sonra həqiqətən vacib olan resursa çatın: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Üçünün də keçməsi parametrlərin, DNS-in və marşrutların gəldiyini bildirir; müştəridəki yaşıl ikon tək başına bunların heç birini bildirmir.

İdxaldan sonra iki nasazlıq tez-tez görünür və hər ikisi faylın üstünə atılır. Ümumi adların həll olub daxili adların olmaması adətən profilin DNS serverlərinin atıldığını və ya split-DNS-in qorunmadığını bildirir. Qalxıb heç bir trafik keçirməyən tunel adətən marşrutların və ya server tərəfinin icazəsinin profili izləmədiyini bildirir. Eyni arxivin yenidən idxalı hər ikisini təkrar edir.

Köhnə Mac-ı təqaüdə çıxarmazdan əvvəl

İxracı silmək ləğv deyil. Köhnə cihaz sertifikatla autentifikasiya olunubsa, server həmin sertifikata o ləğv edilənə və ya yenidən verilənə qədər etibar etməyə davam edir. Ortaq hesabla autentifikasiya olunubsa, o hesabdakı sessiyalar hələ də canlı ola bilər. Server tərəfindəki addımı aparat hələ qarşınızda ikən edin.

Yeni profili açar ehtiva edəndə digər etimad məlumatlarınızla birlikdə saxlayın və parolu müştəriyə yazın ki, fayla deyil, yeni keychain-ə düşsün. Son yoxlama: köhnə Mac söndürülmüş halda əvəzedici cihazdan qoşulun. Yalnız mənbə maşını işlək ikən çalışan təhvil heç vaxt tam olmayıb.