Преместване на VPN достъпа на нов Mac: какво да запишете първо

Миграцията се проваля тихо: връзката се появява в меню бара, профилът се импортира, а удостоверяването все още се проваля, защото новият Mac не е оторизирано устройство. Старият Mac продължава да работи, което прави лесно отлагането на проблема, докато старата машина изчезне. Кратък опис преди смяната предотвратява по-голямата част. Запишете от какво зависи достъпът, докато още можете да го прочетете от работещата машина.

Направете опис на достъпа, докато старият Mac още се свързва

Започнете с клиента и протокола, а не с името на връзката. Името е етикет, който старият профил е избрал; версията на клиента, протоколът и крайната точка са това, което новата машина трябва да възпроизведе. Запишете и точното име на хоста на крайната точка, защото миграция при доставчика може да го премести, без да смени етикета.

Записът за идентичност тежи най-много. Потребителско име и еднократен код могат да се въведат на новия Mac, сертификат с експортируем ключ понякога може да се импортира, а сертификат, обвързан с устройството с неекспортируем ключ, не може да се премести изобщо. Запишете кой от тези случаи имате, преди да планирате прехода. Ако два от тези отговора не съвпадат, решете несъответствието, преди да копирате каквото и да е.

Накрая запишете очакваното поведение на мрежата: пълен тунел или разделен тунел, кои вътрешни имена трябва да се разрешават и дали се очаква IPv6 да пътува вътре в тунела. От това ще станат тестовете, които решават дали миграцията е успяла.

Отделете какво може да се копира от това, което трябва да се издаде наново

Профилите на потребителско ниво, адресите на сървърите и предпочитанията обикновено са преносими. Частните ключове, сертификатите на устройството и токените за записване не са, защото стойността им зависи от обвързване с една машина. Третирайте ги като позиции, които трябва да се издадат наново, и попитайте собственика за поддържания път. Всичко останало може да се копира. Категорията се определя от процеса на собственика, а не от съветника за миграция.

Спрете тук, ако идентичността е обвързана с устройството и не съществува път за повторно издаване. Продължаването с копиран ключ се проваля при удостоверяването или, по-лошо, оставя същите идентификационни данни активни на две машини без никакъв запис за втората.

Не оставяйте частен ключ или код за възстановяване в бележка или съобщение в чата по време на преместването. Използвайте ключодържателя, мениджъра на пароли или escrow процеса на организацията и регистрирайте удостоверителя наново, вместо да копирате неговото семе. Бележка за миграция, която съдържа идентификационни данни, се превръща във второ копие на тези данни.

Подгответе новия Mac по поддържания път

Ако Mac е управляван, запишете го в същата система за управление, преди да добавите ръчна конфигурация. Системата за управление притежава наложения профил, а ръчно импортиран профил върху него създава два източника на истина, които се разминават след следващата промяна на правилата.

На Mac без управление инсталирайте клиента от актуалното изтегляне на доставчика и импортирайте профила по метода, който доставчикът документира. По-новите версии на macOS изискват одобрение за VPN конфигурации и системни разширения в Поверителност и сигурност, а едно разширение може да изисква рестартиране, преди тунелът да стартира. Apple описва ръчния път за настройка на VPN ако искате да го сравните с приложението на доставчика.

Премахнете дублираните дефиниции, след като новата работи. Остарял запис в настройките на Мрежата и собственият профил на приложението могат да сочат към една и съща крайна точка, а тази, която се свързва, не винаги е тази, за която мислите, че сте редактирали.

Тествайте пътищата, които новият Mac действително ще използва

Свържете се и потвърдете, че тунелът пренася трафик; след това проверете разрешаването на имена и маршрутизацията, вместо да се доверявате на иконата в меню бара. macOS отчита резолвери за всеки интерфейс, така че вътрешният DNS сървър трябва да се появи за интерфейса на тунела, а вътрешните имена трябва да се разрешават през него. И двете команди по-долу само четат състоянието.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Спрете, ако вътрешно име на хост се разреши до публичен адрес или ако маршрутът по подразбиране все още сочи към физическия интерфейс, когато дизайнът очаква пълен тунел. И двете са знак, че профилът е импортиран без своите маршрути или че друга конфигурация го отменя.

Повторете теста след заспиване и след свързване с друга мрежа. Връзка, която преживява първото влизане, но не и затварянето на капака е миграция, която ще се провали в ежедневна употреба, а да хванете това преди изтриването на стария Mac е смисълът на контролния списък.

Изведете стария Mac от употреба и го отменете

Дръжте старото устройство свързано, докато новото не премине горните тестове. След това отменете старото устройство чрез конзолата на оператора или системата за управление; изтриването на приложението от стария Mac не отменя идентичността му, а копиран профил все още може да се удостоверява.

След отмяната премахнете профилите, излезте от акаунта и изтрийте диска, ако машината напуска вашия контрол. Проверете още веднъж списъка с устройства на доставчика, за да потвърдите, че старият запис е изчезнал и новият е обозначен правилно.

Ако по време на преместването е копирана споделена тайна или екипни идентификационни данни, завъртете ги сега, вместо да чакате следващата планирана промяна. Миграцията е завършена, когато старата идентичност е мъртва, а не когато новата икона стане зелена.