Moure l’accés VPN a un Mac nou: què cal anotar primer

La migració falla en silenci: la connexió apareix a la barra de menús, el perfil s’importa i l’autenticació continua fallant perquè el Mac nou no és un dispositiu autoritzat. El Mac vell continua funcionant, cosa que fa fàcil ajornar la fallada fins que la màquina vella ja no hi sigui. Un inventari breu abans del canvi evita gairebé tot. Anota de què depèn l’accés mentre encara ho pots llegir a la màquina que funciona.

Inventaria l’accés mentre el Mac vell encara es connecta

Comença pel client i el protocol, no pel nom de la connexió. El nom és una etiqueta que va triar el perfil antic; la versió del client, el protocol i el punt final són el que la màquina nova ha de reproduir. Anota també el nom d’amfitrió exacte del punt final, perquè una migració del proveïdor el pot moure sense canviar l’etiqueta.

L’entrada d’identitat és la que pesa més. Un nom d’usuari i un codi d’un sol ús es poden introduir al Mac nou, un certificat amb clau exportable de vegades es pot importar, i un certificat vinculat al dispositiu amb una clau no exportable no es pot traslladar de cap manera. Anota quin d’aquests casos tens abans de planificar el canvi. Si dues d’aquestes respostes no coincideixen, resol la discrepància abans de copiar res.

Finalment, anota el comportament de xarxa previst: túnel complet o túnel dividit, quins noms interns s’han de resoldre i si s’espera que IPv6 viatgi dins del túnel. Això es converteix en les proves que decideixen si la migració ha funcionat.

Separa el que es pot copiar del que s’ha de tornar a emetre

Els perfils d’usuari, les adreces de servidor i les preferències solen ser portables. Les claus privades, els certificats de dispositiu i els testimonis d’inscripció no ho són, perquè el seu valor depèn d’estar vinculats a una sola màquina. Tracta’ls com a elements que s’han de tornar a emetre i pregunta al propietari per la ruta admesa. Tota la resta es pot copiar. Decideix el procés del propietari, no l’assistent de migració.

Atura’t aquí si la identitat està vinculada al dispositiu i no existeix cap ruta de reemissió. Continuar amb una clau copiada falla a l’autenticació o, pitjor, deixa la mateixa credencial activa en dues màquines sense cap registre de la segona.

No deixis una clau privada ni un codi de recuperació en una nota o un missatge de xat durant el trasllat. Fes servir el clauer, el gestor de contrasenyes o el procés de dipòsit de l’organització, i torna a inscriure l’autenticador en lloc de copiar-ne la llavor. Una nota de migració que conté una credencial es converteix en una segona còpia d’aquesta credencial.

Prepara el Mac nou per la ruta admesa

Si el Mac és gestionat, inscriu-lo al mateix sistema de gestió abans d’afegir configuració manual. El sistema de gestió posseeix el perfil imposat, i un perfil importat a mà al damunt crea dues fonts de veritat que discrepen després del següent canvi de política.

En un Mac no gestionat, instal·la el client des de la descàrrega actual del proveïdor i importa el perfil mitjançant el mètode que documenta el proveïdor. Les versions recents de macOS exigeixen aprovació per a les configuracions de VPN i les extensions de sistema a Privacitat i seguretat, i una extensió pot necessitar un reinici abans que el túnel arrenqui. Apple documenta la ruta de configuració manual de VPN si necessites comparar-la amb l’aplicació del proveïdor.

Elimina les definicions duplicades quan la nova funcioni. Una entrada obsoleta als ajustos de Xarxa i el propi perfil de l’aplicació poden apuntar al mateix punt final, i la que es connecta no sempre és la que creus que has editat.

Prova les rutes que el Mac nou farà servir de veritat

Connecta’t i confirma que el túnel transporta trànsit; després revisa la resolució de noms i l’encaminament en lloc de refiar-te de la icona de la barra de menús. macOS informa dels resolutors per interfície, així que el servidor DNS intern ha d’aparèixer a la interfície del túnel i els noms interns s’han de resoldre a través d’ell. Tots dos comandaments de sota només llegeixen l’estat.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Atura’t si un nom d’amfitrió intern es resol a una adreça pública o si la ruta per defecte continua apuntant a la interfície física quan el disseny espera un túnel complet. Totes dues són senyals que el perfil s’ha importat sense les seves rutes o que una altra configuració l’està anul·lant.

Repeteix la prova després de la suspensió i després d’unir-te a una altra xarxa. Una connexió que sobreviu al primer inici de sessió però no al tancament de la tapa és una migració que fallarà en l’ús diari, i detectar-ho abans d’esborrar el Mac vell és l’objectiu de la llista.

Retira el Mac vell i revoca’l

Mantén el dispositiu vell connectat fins que el nou superi les proves anteriors. Després revoca el dispositiu vell des de la consola de l’operador o el sistema de gestió; esborrar l’aplicació del Mac vell no revoca la seva identitat, i un perfil copiat encara es pot autenticar.

Després de la revocació, elimina els perfils, tanca la sessió del compte i esborra el disc si la màquina surt del teu control. Revisa una vegada més la llista de dispositius del proveïdor per confirmar que l’entrada vella ha desaparegut i que la nova està etiquetada correctament.

Si durant el trasllat s’ha copiat un secret compartit o una credencial d’equip, rota-la ara en lloc d’esperar el següent canvi programat. La migració acaba quan la identitat vella és morta, no quan la icona nova es posa verda.