Што змяшчае экспарт VPN на Mac і што ён пакідае па-за сабой
Экспарт VPN на Mac змяшчае налады і часам прыватны ключ, але не пароль звязкі ключоў і не рэгістрацыю прылады. Спачатку праверце кожную частку.
Націсніце Export у кліенце VPN на Mac, і вы атрымаеце файл, які апісвае злучэнне, не з’яўляючыся ім. Адрас сервера, порт, пратакол і часта сертыфікаты знаходзяцца ўнутры. Пароль для ўваходу, парольная фраза прыватнага ключа і рэгістрацыя, якая аўтарызуе менавіта гэты Mac, звычайна не. Таму профіль можа чыста імпартавацца, з’явіцца ў спісе кліента і ўсё роўна збавіць на першым запыце аўтэнтыфікацыі; прабел — гэта ўласцівасць фармату, а не сапсаванае спампоўванне.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Што насамрэч змяшчае экспартаваны файл
Экспарт — гэта кантэйнер, і пашырэнне файла гаворыць менш, чым змест. Профілі OpenVPN — гэта тэкст: дырэктывы плюс неабавязковыя ўбудаваныя блокі <ca>, <cert> і <key>. Налады Tunnelblick — гэта сціснутыя архівы канфігурацый і налад. Кіраваны .mobileconfig — гэта plist з карысных нагрузкаў. Два спісы адказваюць на большасць пытання перад тым, як вы нешта імпартуеце.
Для тэкставага профілю палічыце блокі PEM, якія ён змяшчае: grep -c "PRIVATE KEY" your-profile.ovpn. Ненулявы вынік азначае, што файл змяшчае ключавы матэрыял і з гэтага моманту з ім трэба абыходзіцца як з паролем. Для архіва пералічыце яго, не распакоўваючы: tar -tf export.tbz, або unzip -l export.zip, калі кліент стварыў zip. Файлы ключоў, файлы сертыфікатаў і скрыпты ўздыму або апускання ў гэтым спісе — гэта часткі, якія перазаданне ўліковага запісу карыстальніка не аднавіць.
Адваротны выпадак не менш важны. Калі профіль спасылаецца на ключ па імені файла, а не ўбудавае яго, экспарт наўмысна няпоўны, і адсутная палова павінна прыйсці ад таго, хто яго выдаў. Скапіраваць гэты файл побач можна, калі вы валодаеце цэнтрам сертыфікацыі; нельга, калі файл ішоў з прывязаным да прылады сертыфікатам, які быў створаны на старым Mac.
Чаму палова звязкі ключоў ніколі не пераносіцца
macOS захоўвае паролі VPN і парольныя фразы ключоў у звязцы ключоў уваходу, і кліенты захоўваюць іх там, а не ў сваіх файлах налад. Tunnelblick кажа пра гэта ў сваім кіраўніцтве па экспарце і імпарце: архіў налады змяшчае канфігурацыі і налады і пакідае па-за імі імёны карыстальнікаў, паролі і парольныя фразы, якія захоўваюцца ў звязцы ключоў. Пропуск наўмысны. Элементы звязкі ключоў абаронены для кожнага карыстальніка і кожнай машыны, таму скапіраваны элемент не мае сапраўднага кантролю доступу на месцы прызначэння, што пакідае альбо бескарысны файл, альбо сакрэт у адкрытым тэксце.
Вы можаце пацвердзіць, дзе жывуць уліковыя даныя, перш чым планаваць перанос. security find-internet-password -s vpn.example.com друкуе атрыбуты для адпаведнага элемента і выходзіць з ненулявым кодам, калі такога няма; той жа загад з -g запытаў бы раскрыццё пароля, таму запыт без яго — больш бяспечная праверка. Знойдзены там запіс азначае, што профіль не нясе пароль і яго нельга прымусіць гэта рабіць. Гэта таксама азначае, што пароль зноў запытаюць на новым Mac, а дазвол «Заўсёды дазваляць» на старым там нічога не значыць.
Але не кожны сакрэт — гэта элемент звязкі ключоў. Уласная дакументацыя пакета Tunnelblick адзначае, што пакет можа змяшчаць файлы ключоў, сертыфікатаў і скрыптоў. Так што выключэнне з экспарту элементаў звязкі ключоў — не тое ж сцвярджэнне, што экспарт бяспечна адпраўляць поштай; стаўцеся да архіва як да канфідэнцыйнага, пакуль не пералічыце, што ў ім ёсць.
У родных і кіраваных VPN няма шляху экспарту
Злучэнні, наладжаныя праз Сістэмныя налады, не прапануюць падтрымліванага экспарту. scutil --nc list паказвае службы, якія ведае сістэма, а scutil --nc show "Work VPN" друкуе канфігурацыю адной службы — дастаткова, каб прачытаць яе сервер і пратакол. Ні адно не з’яўляецца інструментам міграцыі. Ідэнтыфікатары службаў, захаваныя ў /Library/Preferences/SystemConfiguration/preferences.plist, — гэта спасылкі ў гэты файл, таму капіраванне файла і перапісванне ідэнтыфікатараў не з’яўляецца падтрымліваным пераносам і можа парушыць незвязаныя сеткавыя службы на месцы прызначэння.
Падтрымліваны шлях — той, які дакументуе Apple: усталяваць файл налад VPN, прадстаўлены адміністратарам, або ўвесці налады, якія дае аператар. Калі злучэнне кіруецца, папрасіце свежы файл або свежую рэгістрацыю замест таго, каб перабудоўваць яго са здымка экрана старога дыялога. Для профілю, які прасоўвае MDM, карысная нагрузка сертыфіката можа несці ідэнтычнасць, а прыватны ключ генеруецца на прыладзе, і ў такім разе нават бездакорная копія старога профілю не можа аўтэнтыфікаваць новы Mac.
Праверце аднаўленне замест таго, каб давяраць спісу
Профіль у спісе і працоўны тунель — два розныя станы, і толькі адзін з іх варта паведамляць. Пасля імпарту і падключэння праверце, што інтэрфейс тунеля існуе, потым праверце, што робіць тунель.
ifconfig | grep -A3 utun паказвае інтэрфейс тунеля і яго адрасы. scutil --dns | grep nameserver паказвае, якія рэзалверы актыўныя пасля падключэння, і менавіта тут профілі split-DNS звычайна разыходзяцца. Потым дабярыцеся да рэсурсу, які сапраўды важны: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Калі ўсе тры праходзяць, налады, DNS і маршруты прыбылі; зялёная іконка ў кліенце сама па сабе не азначае нічога з гэтага.
Два збоі часта ўсплываюць пасля імпарту, і абодва спісваюць на файл. Калі публічныя імёны развязаюцца, а ўнутраныя не, гэта звычайна азначае, што DNS-серверы профілю былі скінуты або split-DNS не захаваўся. Тунель, які ўзнімаецца і не прапускае трафік, звычайна азначае, што маршруты або аўтарызацыя на баку сервера не пайшлі за профілем. Паўторны імпарт таго ж архіва ўзнаўляе і тое, і другое.
Перш чым спісаць стары Mac
Выдаленне экспарту — не адкліканне. Калі старая прылада аўтэнтыфікавалася сертыфікатам, сервер усё яшчэ давярае гэтаму сертыфікату, пакуль яго не адклічуць або не перавыдадуць. Калі яна аўтэнтыфікавалася супольным уліковым запісам, сеансы ў гэтым запісе могуць быць яшчэ жывыя. Зрабіце крок на баку сервера, пакуль абсталяванне яшчэ перад вамі.
Захоўвайце новы профіль разам з іншымі ўліковымі данымі, калі ён змяшчае ключ, і ўвядзіце пароль у кліент, каб ён трапіў у новую звязку ключоў, а не ў файл. Апошняя праверка: падключыцеся з замены, калі стары Mac выключаны. Перадача, якая працуе толькі пакуль зыходная машына ў сеціве, ніколі не была поўнай.