Перанос VPN-доступу на новы Mac: што запісаць перш за ўсё
Скапіяваная назва злучэння — гэта не перанесеная ідэнтычнасць. Запішыце кліент, крыніцу профілю і шлях аўтарызацыі, затым наладзьце і праверце новы Mac.
Міграцыя зрываецца ціха: злучэнне з’яўляецца ў радку меню, профіль імпартуецца, а аўтэнтыфікацыя ўсё роўна не праходзіць, бо новы Mac не з’яўляецца аўтарызаванай прыладай. Стары Mac працягвае працаваць, і гэта дазваляе адкладваць праблему, пакуль старая машына не знікне. Кароткі пералік, зроблены перад пераходам, прадухіляе большасць гэтага. Запішыце, ад чаго залежыць доступ, пакуль яго яшчэ можна прачытаць з працоўнай машыны.
Складзіце пералік доступу, пакуль стары Mac яшчэ падключаецца
Пачніце з кліента і пратакола, а не з назвы злучэння. Назва — гэта ярлык, які абраў стары профіль; версію кліента, пратакол і канчатковы пункт новая машына павінна аднавіць. Запішыце таксама дакладнае імя хоста канчатковага пункта, бо міграцыя ў пастаўшчыка можа перамясціць яго, не змяняючы ярлык.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Запіс пра ідэнтычнасць важыць найбольш. Імя карыстальніка і аднаразовы код можна ўвесці на новым Mac, сертыфікат з экспартаваным ключом часам удаецца імпартаваць, а сертыфікат, прывязаны да прылады з неэкспартаваным ключом, перанесці немагчыма зусім. Запішыце, які з гэтых выпадкаў у вас, перш чым планаваць пераход. Калі два з гэтых адказаў разыходзяцца, ухіліце разыходжанне, перш чым што-небудзь капіяваць.
Нарэшце запішыце чаканыя паводзіны сеткі: поўны тунэль ці падзелены тунэль, якія ўнутраныя імёны павінны вырашацца і ці чакаецца IPv6 унутры тунэля. З гэтага паўстануць праверкі, якія вырашаць, ці ўдалася міграцыя.
Аддзяліце тое, што можна скапіяваць, ад таго, што трэба выдаць нанова
Профілі ўзроўню карыстальніка, адрасы сервераў і налады звычайна пераносныя. Прыватныя ключы, сертыфікаты прылад і токены рэгістрацыі — не, бо іх каштоўнасць залежыць ад прывязкі да адной машыны. Лічыце іх пазіцыямі, якія трэба выдаць нанова, і спытайце ўладальніка пра шлях, які падтрымліваецца. Усё астатняе можна капіяваць. Катэгорыю вызначае працэс уладальніка, а не майстар міграцыі.
Спыніцеся тут, калі ідэнтычнасць прывязаная да прылады і шляху для паўторнай выдачи няма. Працяг са скапіяваным ключом або не праходзіць аўтэнтыфікацыю, або, што горш, пакідае тыя ж уліковыя даныя актыўнымі на дзвюх машынах без якога-небудзь запісу пра другую.
Не пакідайце прыватны ключ або код аднаўлення ў нататцы ці паведамленні чата падчас пераносу. Выкарыстоўвайце звязку ключоў, мэнэджар пароляў або працэдуру escrow арганізацыі і зарэгіструйце аўтэнтыфікатар нанова, замест капіявання яго насення. Нататка пра міграцыю, якая змяшчае ўліковыя даныя, становіцца другой копіяй гэтых даных.
Наладзьце новы Mac шляхам, які падтрымліваецца
Калі Mac кіруемы, зарэгіструйце яго ў той жа сістэме кіравання, перш чым дадаваць ручную канфігурацыю. Сістэма кіравання валодае прымусовым профілем, а профіль, імпартаваны ўручную паверх яго, стварае дзве крыніцы ісціны, якія разыходзяцца пасля наступнай змены палітыкі.
На некіруемым Mac усталюйце кліент з бягучага спампоўвання пастаўшчыка і імпартуйце профіль метадам, які дакументуе пастаўшчык. Новыя версіі macOS патрабуюць адабрэння канфігурацый VPN і сістэмных пашырэнняў у раздзеле «Прыватнасць і бяспека», а пашырэнне можа патрабаваць перазапуску, перш чым тунэль запусціцца. Apple апісвае шлях ручной наладкі VPN калі вы хочаце параўнаць яго з праграмай пастаўшчыка.
Выдаліце дубляваныя вызначэнні, калі новы запрацуе. Састарэлы запіс у наладах сеткі і ўласны профіль праграмы могуць паказваць на той жа канчатковы пункт, і падключаецца не заўсёды тая, якую вы, як вам здаецца, рэдагавалі.
Праверце шляхі, якія новы Mac сапраўды будзе выкарыстоўваць
Падключыцеся і пераканайцеся, што тунэль перадае трафік; затым праверце развязанне імёнаў і маршрутызацыю, а не спадзявайцеся на значок у радку меню. macOS паведамляе пра рэзолверы па інтэрфейсах, таму ўнутраны DNS-сервер павінен з’явіцца на інтэрфейсе тунэля, а ўнутраныя імёны павінны развязацца праз яго. Абедзве каманды ніжэй толькі чытаюць стан.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Спыніцеся, калі ўнутранае імя хоста развязваецца ў публічны адрас або калі маршрут па змаўчанні дагэтуль паказвае на фізічны інтэрфейс, калі праект прадугледжвае поўны тунэль. Абедзве прыкметы азначаюць, што профіль імпартаваны без яго маршрутаў або што яго перакрывае іншая канфігурацыя.
Паўтарыце праверку пасля сну і пасля падключэння да іншай сеткі. Злучэнне, якое перажывае першы ўваход, але не закрыццё вечка — гэта міграцыя, якая падвядзе ў штодзённым выкарыстанні, і злавіць гэта да сцірання старога Mac і ёсць сэнс кантрольнага спісу.
Вывядзіце стары Mac з эксплуатацыі і адклічце яго
Трымайце старую прыладу падключанай, пакуль новая не пройдзе праверкі вышэй. Затым адклічце старую прыладу праз кансоль аператара або сістэму кіравання; выдаленне праграмы са старога Mac не адклікае яго ідэнтычнасць, і скапіяваны профіль усё яшчэ можа прайсці аўтэнтыфікацыю.
Пасля адклікання выдаліце профілі, выйдзіце з уліковага запісу і сцірайце дыск, калі машына пакідае ваш кантроль. Праверце спіс прылад у пастаўшчыка яшчэ раз, каб пераканацца, што стары запіс знік, а новы пазначаны правільна.
Калі падчас пераносу быў скапіяваны агульны сакрэт або камандныя ўліковыя даныя, змяніце іх зараз, а не чакайце наступнай планавай змены. Міграцыя завершана, калі старая ідэнтычнасць мёртвая, а не калі новы значок становіцца зялёным.