Přesun přístupu VPN na nový Mac: co si nejdřív zapsat
Zkopírovaný název připojení není migrovaná identita. Zapište klienta, zdroj profilu a cestu autorizace, poté nový Mac připravte a otestujte.
Migrace selhává tiše: připojení se objeví v panelu nabídek, profil se naimportuje a ověřování přesto selže, protože nový Mac není autorizované zařízení. Starý Mac dál funguje, a tak je snadné odklad selhání odkládat, dokud starý stroj nezmizí. Krátký soupis před přechodem většině zabrání. Zapište, na čem přístup závisí, dokud to ještě můžete přečíst z fungujícího stroje.
Zmapujte přístup, dokud se starý Mac ještě připojuje
Začněte klientem a protokolem, ne názvem připojení. Název je štítek, který zvolil starý profil; verze klienta, protokol a koncový bod jsou to, co musí nový stroj zopakovat. Zapište si také přesný název hostitele koncového bodu, protože migrace u poskytovatele ho může přesunout, aniž by se štítek změnil.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Položka identity váží nejvíc. Uživatelské jméno a jednorázový kód lze na novém Macu zadat, certifikát s exportovatelným klíčem lze někdy importovat a certifikát vázaný na zařízení s neexportovatelným klíčem nelze přenést vůbec. Zapište, který z těchto případů platí, než přechod naplánujete. Pokud si dva z těchto odpovědí odporují, vyřešte rozpor dřív, než cokoli zkopírujete.
Nakonec zapište očekávané chování sítě: plný tunel, nebo rozdělený tunel, které interní názvy se mají překládat a zda se očekává IPv6 uvnitř tunelu. Z toho se stanou testy, které rozhodnou, zda migrace fungovala.
Oddělte, co lze zkopírovat, od toho, co je nutné vydat znovu
Profily na úrovni uživatele, adresy serverů a předvolby jsou obvykle přenosné. Soukromé klíče, certifikáty zařízení a tokeny registrace ne, protože jejich hodnota závisí na vazbě k jednomu stroji. Považujte je za položky k opětovnému vydání a zeptejte se vlastníka na podporovanou cestu. Vše ostatní lze zkopírovat. O kategorii rozhoduje proces vlastníka, ne průvodce migrací.
Zastavte se zde, pokud je identita vázaná na zařízení a neexistuje cesta k opětovnému vydání. Pokračovat se zkopírovaným klíčem buď selže při ověřování, nebo, hůř, nechá stejné přihlašovací údaje aktivní na dvou strojích bez jakéhokoli záznamu o tom druhém.
Nenechávejte soukromý klíč ani obnovovací kód v poznámce nebo chatové zprávě během přesunu. Použijte klíčenku, správce hesel nebo escrow proces organizace a autentizátor zaregistrujte znovu, místo abyste kopírovali jeho seed. Migrační poznámka, která obsahuje přihlašovací údaj, se stává druhou kopií tohoto údaje.
Připravte nový Mac podporovanou cestou
Pokud je Mac spravovaný, zaregistrujte ho ve stejném systému správy dřív, než přidáte ruční konfiguraci. Systém správy vlastní vynucený profil a ručně importovaný profil nad ním vytváří dva zdroje pravdy, které se po další změně zásad rozejdou.
Na nespravovaném Macu nainstalujte klienta z aktuálního stahování poskytovatele a importujte profil metodou, kterou poskytovatel dokumentuje. Novější verze macOS vyžadují schválení konfigurací VPN a systémových rozšíření v Soukromí a zabezpečení a rozšíření může vyžadovat restart, než tunel nastartuje. Apple popisuje ruční cestu nastavení VPN pokud ji chcete porovnat s aplikací poskytovatele.
Odstraňte duplicitní definice, jakmile nová funguje. Zastaralý záznam v nastavení Sítě a vlastní profil aplikace mohou oba ukazovat na stejný koncový bod a ten, který se připojí, není vždy ten, o kterém si myslíte, že jste ho upravili.
Otestujte cesty, které nový Mac skutečně použije
Připojte se a ověřte, že tunel přenáší provoz; poté zkontrolujte překlad názvů a směrování, místo abyste věřili ikoně v panelu nabídek. macOS hlásí resolvery pro každé rozhraní, takže interní server DNS by se měl objevit u rozhraní tunelu a interní názvy by se měly překládat přes něj. Oba příkazy níže pouze čtou stav.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Zastavte se, pokud se interní název hostitele přeloží na veřejnou adresu nebo pokud výchozí trasa stále ukazuje na fyzické rozhraní, když návrh počítá s plným tunelem. Oba jsou známkou toho, že profil byl importován bez svých tras nebo že ho přebíjí jiná konfigurace.
Test zopakujte po uspání a po připojení k jiné síti. Připojení, které přežije první přihlášení, ale ne zavření víka je migrace, která v každodenním použití selže, a odhalit to před vymazáním starého Macu je smyslem kontrolního seznamu.
Vyřaďte starý Mac a zrušte ho
Nechte staré zařízení připojené, dokud nové neprojde výše uvedenými testy. Poté staré zařízení zrušte v konzoli operátora nebo v systému správy; smazání aplikace ze starého Macu jeho identitu nezruší a zkopírovaný profil se stále může ověřit.
Po zrušení odstraňte profily, odhlaste se z účtu a vymažte disk, pokud stroj opouští vaši kontrolu. Ještě jednou zkontrolujte seznam zařízení poskytovatele, abyste potvrdili, že starý záznam zmizel a nový je správně označen.
Pokud bylo během přesunu zkopírováno sdílené tajemství nebo týmové přihlašovací údaje, otočte je hned, místo abyste čekali na další plánovanou změnu. Migrace je hotová, když je stará identita mrtvá, ne když nová ikona zezelená.