Šta sadrži izvoz Mac VPN-a i šta ostavlja za sobom

Kliknite Export u Mac VPN klijentu i dobit ćete datoteku koja opisuje vezu, a nije veza. Adresa servera, port, protokol i često certifikati nalaze se unutra. Lozinka za prijavu, lozinka za privatni ključ i registracija koja ovlašćuje baš ovaj Mac obično ne. Zato se profil može čisto uvesti, pojaviti na listi klijenata i ipak pasti na prvom zahtjevu za autentifikaciju; razmak je svojstvo formata, a ne oštećeno preuzimanje.

Šta izvezena datoteka zapravo sadrži

Izvoz je kontejner, a ekstenzija datoteke govori manje od sadržaja. OpenVPN profili su tekst: direktive plus opcionalni ugrađeni blokovi <ca>, <cert> i <key>. Tunnelblick postavke su komprimirani arhivi konfiguracija i postavki. Upravljani .mobileconfig je plist korisnih opterećenja. Dva popisa odgovaraju na veći dio pitanja prije nego što bilo šta uvezete.

Za tekstualni profil prebrojite PEM blokove koje nosi: grep -c "PRIVATE KEY" your-profile.ovpn. Rezultat različit od nule znači da datoteka sadrži ključni materijal i od tog trenutka se mora tretirati kao lozinka. Za arhiv ga popišite bez raspakivanja: tar -tf export.tbz, ili unzip -l export.zip ako je klijent napravio zip. Datoteke ključeva, certifikata i skripte za podizanje ili spuštanje na tom popisu dijelovi su koje ponovno izdavanje korisničkog računa neće ponovo stvoriti.

Obrnuti slučaj je jednako važan. Kada profil pokazuje na ključ po imenu datoteke umjesto da ga ugrađuje, izvoz je namjerno nepotpun i nedostajuća polovina mora doći od onoga ko ga je izdao. Kopiranje te datoteke uz njega u redu je kada posjedujete certifikacijsko tijelo; nije u redu kada je datoteka došla s certifikatom vezanim za uređaj koji je generiran na starom Macu.

Zašto polovina iz privjeska s ključevima nikada ne putuje

macOS čuva VPN lozinke i lozinke ključeva u privjesku s ključevima za prijavu, a klijenti ih čuvaju tamo umjesto u vlastitim datotekama postavki. Tunnelblick to kaže u svom vodiču za izvoz i uvoz: arhiv postavki nosi konfiguracije i postavke i izostavlja korisnička imena, lozinke i lozinke ključeva koje se drže u privjesku. Izostavljanje je namjerno. Stavke privjeska zaštićene su po korisniku i po uređaju, pa kopirana stavka nema valjanu kontrolu pristupa na odredištu, što ostavlja ili beskorisnu datoteku ili tajnu u čistom tekstu.

Možete potvrditi gdje akreditiv živi prije nego što planirate premještanje. security find-internet-password -s vpn.example.com ispisuje atribute za odgovarajuću stavku i završava s kodom različitim od nule kada je nema; ista naredba s -g bi tražila otkrivanje lozinke, zato je upit bez toga sigurnija provjera. Pogodak tamo znači da profil ne nosi lozinku i ne može se natjerati da je nosi. Znači i da će lozinka ponovo biti zatražena na novom Macu, a odobrenje «Uvijek dopusti» na starom tamo ništa ne vrijedi.

Nije svaka tajna stavka privjeska, međutim. Vlastita dokumentacija paketa Tunnelblick napominje da paket može sadržavati datoteke ključeva, certifikata i skripti. Dakle, izvoz koji izostavlja stavke privjeska nije ista tvrdnja kao da je izvoz siguran za slanje e-poštom; tretirajte arhiv kao osjetljiv dok ne popišete šta je u njemu.

Ugrađeni i upravljani VPN-ovi nemaju put izvoza

Veze konfigurirane kroz Sistemske postavke ne nude podržani izvoz. scutil --nc list prikazuje usluge koje sistem poznaje, a scutil --nc show "Work VPN" ispisuje konfiguraciju jedne usluge, dovoljno da pročitate njen server i protokol. Niti jedno nije alat za migraciju. Identifikatori usluga pohranjeni u /Library/Preferences/SystemConfiguration/preferences.plist reference su u tu datoteku, pa kopiranje datoteke i prepisivanje identifikatora nije podržan prijenos i može poremetiti nepovezane mrežne usluge na odredištu.

Podržani put je onaj koji Apple dokumentira: instalirajte datoteku VPN postavki koju je dao administrator ili unesite postavke koje vam operater daje. Kada je veza upravljana, zatražite novu datoteku ili novu registraciju umjesto da je obnavljate sa snimke ekrana starog dijaloga. Za profil koji gura MDM, certifikatno opterećenje može nositi identitet dok se privatni ključ generira na uređaju, i u tom slučaju čak ni besprijekorna kopija starog profila ne može autentificirati novi Mac.

Provjerite obnovu umjesto da vjerujete listi

Profil na listi i tunel koji radi dva su različita stanja i samo jedno od njih vrijedi prijaviti. Nakon uvoza i povezivanja provjerite postoji li sučelje tunela, pa provjerite šta tunel radi.

ifconfig | grep -A3 utun prikazuje sučelje tunela i njegove adrese. scutil --dns | grep nameserver prikazuje koji su razrješivači aktivni nakon veze, i tu se split-DNS profili obično razilaze. Zatim dosegnite resurs koji je zaista važan: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ako sva tri prođu, postavke, DNS i rute su stigle; zelena ikona u klijentu sama po sebi ne znači ništa od toga.

Dva kvara često se pojavljuju nakon uvoza i oba se pripisuju datoteci. Javna imena se razrješavaju, a interna ne, obično znači da su DNS serveri profila ispušteni ili split-DNS nije sačuvan. Tunel koji se podigne i ne propušta promet obično znači da rute ili autorizacija na strani servera nisu slijedile profil. Ponovni uvoz istog arhiva reprodukuje oboje.

Prije nego što umirovite stari Mac

Brisanje izvoza nije opoziv. Ako se stari uređaj autentificirao certifikatom, server još vjeruje tom certifikatu dok se ne opozove ili ponovo izda. Ako se autentificirao dijeljenim računom, sesije na tom računu možda su još žive. Obavite korak na strani servera dok vam je hardver još pred očima.

Pohranite novi profil s ostalim akreditivima kada sadrži ključ, i upišite lozinku u klijent tako da završi u novom privjesku, a ne u datoteci. Posljednja provjera: povežite se sa zamjene dok je stari Mac isključen. Predaja koja radi samo dok je izvorni stroj na mreži nikada nije bila potpuna.