Què conté una exportació de VPN de Mac i què deixa enrere
Una exportació de VPN de Mac porta ajustos i de vegades una clau privada, però no la contrasenya del claveller ni l’enregistrament del dispositiu. Comproveu cada part primer.
Feu clic a Export en un client de VPN de Mac i obtindreu un fitxer que descriu una connexió sense ser-ne una. L’adreça del servidor, el port, el protocol i sovint els certificats són a dins. La contrasenya d’inici de sessió, la frase de pas d’una clau privada i l’enregistrament que autoritza precisament aquest Mac normalment no. Per això un perfil es pot importar net, aparèixer a la llista del client i tot i així fallar al primer avís d’autenticació; el buit és una propietat del format, no una baixada malmesa.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Què conté realment el fitxer exportat
Una exportació és un contenidor, i l’extensió del fitxer diu menys que el contingut. Els perfils d’OpenVPN són text: directrius, més blocs incrustats opcionals <ca>, <cert> i <key>. Les configuracions de Tunnelblick són arxius comprimits de configuracions i ajustos. Un .mobileconfig gestionat és un plist de càrregues útils. Dues llistes responen la major part de la pregunta abans que importeu res.
Per a un perfil de text, compteu els blocs PEM que porta: grep -c "PRIVATE KEY" your-profile.ovpn. Un resultat diferent de zero vol dir que el fitxer conté material de clau i s’ha de tractar com una contrasenya des d’aquell moment. Per a un arxiu, llisteu-lo sense extreure’l: tar -tf export.tbz, o unzip -l export.zip si el client ha produït un zip. Els fitxers de clau, els de certificat i els scripts d’activació o desactivació d’aquesta llista són les parts que la reemissió d’un compte d’usuari no recrearà.
El cas oposat importa igual. Quan el perfil apunta a una clau pel nom del fitxer en lloc d’incrustar-la, l’exportació és incompleta a propòsit i la meitat que falta ha de venir de qui la va emetre. Copiar aquest fitxer al costat és correcte quan teniu l’autoritat de certificació; no és correcte quan el fitxer venia amb un certificat lligat al dispositiu que es va generar al Mac antic.
Per què la meitat del claveller no viatja mai
macOS desa les contrasenyes de VPN i les frases de pas de les claus al claveller d’inici de sessió, i els clients les hi guarden en lloc de fer-ho als seus propis fitxers d’ajustos. Tunnelblick ho diu a la seva guia d’exportació i importació: l’arxiu de configuració porta configuracions i ajustos i deixa fora els noms d’usuari, les contrasenyes i les frases de pas que es guarden al claveller. L’omissió és deliberada. Els elements del claveller estan protegits per usuari i per màquina, de manera que un element copiat no té cap control d’accés vàlid a la destinació, cosa que deixa o bé un fitxer inútil o bé un secret en text pla.
Podeu confirmar on viu la credencial abans de planificar el trasllat. security find-internet-password -s vpn.example.com imprimeix els atributs d’un element coincident i acaba amb un codi diferent de zero quan no n’hi ha cap; la mateixa ordre amb -g demanaria revelar la contrasenya, per això la consulta sense aquesta opció és la comprovació més segura. Un resultat allà vol dir que el perfil no porta la contrasenya i no se’l pot obligar a portar-la. També vol dir que la contrasenya es tornarà a demanar al Mac nou, i un permís «Permet sempre» al vell allà no compta per a res.
No tot secret és un element del claveller, però. La documentació del paquet de Tunnelblick assenyala que un paquet pot contenir fitxers de clau, de certificat i d’script. Així que el fet que l’exportació exclogui les entrades del claveller no és la mateixa afirmació que dir que l’exportació és segura per enviar per correu; tracteu l’arxiu com a sensible fins que hàgiu llistat què hi ha a dins.
Les VPN natives i gestionades no tenen camí d’exportació
Les connexions configurades amb Configuració del Sistema no ofereixen cap exportació compatible. scutil --nc list mostra els serveis que el sistema coneix, i scutil --nc show "Work VPN" imprimeix la configuració d’un servei, prou per llegir-ne el servidor i el protocol. Cap de les dues no és una eina de migració. Els identificadors de servei desats a /Library/Preferences/SystemConfiguration/preferences.plist són referències dins d’aquell fitxer, així que copiar el fitxer i reescriure identificadors no és un trasllat compatible i pot pertorbar serveis de xarxa no relacionats a la destinació.
El camí compatible és el que Apple documenta: instal·leu un fitxer d’ajustos de VPN proporcionat per l’administrador, o introduïu els ajustos que us doni l’operador. Quan la connexió és gestionada, demaneu un fitxer nou o un enregistrament nou en lloc de reconstruir-la a partir d’una captura del diàleg antic. Per a un perfil empès per MDM, la càrrega del certificat pot portar la identitat mentre la clau privada es genera al dispositiu, i en aquest cas ni una còpia impecable del perfil antic pot autenticar el Mac nou.
Verifiqueu la restauració en lloc de confiar en la llista
Un perfil a la llista i un túnel que funciona són dos estats diferents, i només un d’ells val la pena informar. Després d’importar i connectar, comproveu que la interfície del túnel existeix, i després comproveu què fa el túnel.
ifconfig | grep -A3 utun mostra la interfície del túnel i les seves adreces. scutil --dns | grep nameserver mostra quins resolutors estan actius després de la connexió, i és aquí on els perfils de split-DNS solen divergir. Després arribeu al recurs que realment importa: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Si els tres passen, els ajustos, el DNS i les rutes han arribat; una icona verda al client no vol dir res d’això per si sola.
Dos errors apareixen sovint després d’una importació i tots dos es carreguen al fitxer. Que els noms públics es resolguin i els interns no sol voler dir que els servidors DNS del perfil s’han perdut o que el split-DNS no s’ha conservat. Un túnel que s’aixeca i no hi passa trànsit sol voler dir que les rutes o l’autorització del servidor no han seguit el perfil. Reimportar el mateix arxiu reprodueix tots dos.
Abans de retirar el Mac antic
Esborrar l’exportació no és revocar-la. Si el dispositiu antic s’autenticava amb un certificat, el servidor encara confia en aquell certificat fins que es revoqui o es reemeti. Si s’autenticava amb un compte compartit, les sessions d’aquell compte poden seguir vives. Feu el pas del costat del servidor mentre el maquinari encara el teniu davant.
Desa el perfil nou amb la resta de credencials quan contingui una clau, i escriviu la contrasenya al client perquè arribi al claveller nou i no a un fitxer. Darrera comprovació: connecteu-vos des del substitut amb el Mac antic apagat. Un traspàs que només funciona mentre la màquina d’origen és en línia mai no ha estat complet.