Co obsahuje export VPN z Macu a co zanechává za sebou
Export VPN z Macu nese nastavení a někdy soukromý klíč, ale ne heslo z klíčenky ani registraci zařízení. Nejprve zkontrolujte každou část.
Klikněte v klientu VPN pro Mac na Export a získáte soubor, který popisuje připojení, aniž by jím byl. Adresa serveru, port, protokol a často i certifikáty jsou uvnitř. Přihlašovací heslo, přístupová fráze soukromého klíče a registrace, která opravňuje právě tento Mac, obvykle nikoli. Proto se profil může čistě importovat, objevit v seznamu klienta a přesto selhat při první výzvě k ověření; mezera je vlastnost formátu, ne poškozené stažení.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Co exportovaný soubor skutečně obsahuje
Export je kontejner a přípona souboru říká méně než obsah. Profily OpenVPN jsou text: direktivy plus volitelné vložené bloky <ca>, <cert> a <key>. Nastavení Tunnelblick jsou komprimované archivy konfigurací a nastavení. Spravovaný .mobileconfig je plist s datovými jednotkami. Dva výpisy odpovídají na většinu otázky, než cokoli importujete.
U textového profilu spočítejte bloky PEM, které nese: grep -c "PRIVATE KEY" your-profile.ovpn. Nenulový výsledek znamená, že soubor obsahuje klíčový materiál a od té chvíle se s ním musí zacházet jako s heslem. U archivu ho vypište, aniž byste ho rozbalovali: tar -tf export.tbz, nebo unzip -l export.zip, pokud klient vytvořil zip. Soubory klíčů, certifikátů a skripty pro zapnutí či vypnutí v tomto výpisu jsou části, které opětovné vydání uživatelského účtu nevytvoří.
Opačný případ je stejně důležitý. Když profil odkazuje na klíč podle názvu souboru, místo aby ho vkládal, je export záměrně neúplný a chybějící polovina musí přijít od toho, kdo ho vydal. Kopírovat tento soubor vedle je v pořádku, když vlastníte certifikační autoritu; není v pořádku, když soubor přišel s certifikátem vázaným na zařízení, který byl vytvořen na starém Macu.
Proč polovina z klíčenky nikdy neputuje
macOS ukládá hesla VPN a přístupové fráze klíčů do přihlašovací klíčenky a klienti je ukládají tam, místo do vlastních souborů nastavení. Tunnelblick to říká ve svém průvodci exportem a importem: archiv nastavení nese konfigurace a nastavení a vynechává uživatelská jména, hesla a přístupové fráze uložené v klíčence. Vynechání je záměrné. Položky klíčenky jsou chráněny pro každého uživatele a každý stroj, takže zkopírovaná položka nemá v cíli platnou kontrolu přístupu, což ponechá buď nepoužitelný soubor, nebo tajemství v otevřeném textu.
Můžete potvrdit, kde přihlašovací údaj žije, než naplánujete přesun. security find-internet-password -s vpn.example.com vypíše atributy odpovídající položky a skončí s nenulovým kódem, když žádná není; stejný příkaz s -g by vyžádal odhalení hesla, proto je dotaz bez něj bezpečnější kontrola. Nález tam znamená, že profil heslo nenese a nelze ho k tomu donutit. Znamená to také, že heslo bude na novém Macu znovu vyžádáno, a povolení «Vždy povolit» na starém tam nic neznamená.
Ne každé tajemství je ale položka klíčenky. Vlastní dokumentace balíčku Tunnelblick uvádí, že balíček může obsahovat soubory klíčů, certifikátů a skriptů. Takže export, který vynechává položky klíčenky, není totéž tvrzení jako to, že export je bezpečný k odeslání e-mailem; považujte archiv za citlivý, dokud nevypíšete, co v něm je.
Nativní a spravované VPN nemají cestu exportu
Připojení konfigurovaná přes Systémová nastavení nenabízejí podporovaný export. scutil --nc list zobrazí služby, které systém zná, a scutil --nc show "Work VPN" vypíše konfiguraci jedné služby, dost na přečtení jejího serveru a protokolu. Ani jedno není migrační nástroj. Identifikátory služeb uložené v /Library/Preferences/SystemConfiguration/preferences.plist jsou odkazy do tohoto souboru, takže kopírování souboru a přepisování identifikátorů není podporovaný přenos a může narušit nesouvisející síťové služby v cíli.
Podporovaná cesta je ta, kterou dokumentuje Apple: nainstalujte soubor nastavení VPN poskytnutý správcem, nebo zadejte nastavení, která vám dá operátor. Když je připojení spravované, požádejte o nový soubor nebo novou registraci, místo abyste ho znovu sestavovali ze snímku obrazovky starého dialogu. U profilu tlačeného MDM může datová jednotka certifikátu nést identitu, zatímco soukromý klíč se generuje na zařízení, a v tom případě ani bezvadná kopie starého profilu nemůže ověřit nový Mac.
Ověřte obnovení, místo abyste věřili seznamu
Profil v seznamu a fungující tunel jsou dva různé stavy a jen jeden z nich stojí za hlášení. Po importu a připojení zkontrolujte, že rozhraní tunelu existuje, a pak zkontrolujte, co tunel dělá.
ifconfig | grep -A3 utun zobrazí rozhraní tunelu a jeho adresy. scutil --dns | grep nameserver zobrazí, které překladače jsou po připojení aktivní, a právě tam se profily se split-DNS obvykle rozcházejí. Pak dosáhněte na zdroj, na kterém skutečně záleží: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Pokud projdou všechny tři, nastavení, DNS a trasy dorazily; zelená ikona v klientu sama o sobě neznamená nic z toho.
Dvě selhání se po importu objevují často a obě se svádějí na soubor. Veřejná jména se překládají, interní ne, obvykle znamená, že DNS servery profilu byly ztraceny nebo split-DNS nebyl zachován. Tunel, který se zvedne a nepropustí žádný provoz, obvykle znamená, že trasy nebo autorizace na straně serveru nenásledovaly profil. Opětovný import stejného archivu reprodukuje obojí.
Než starý Mac vyřadíte
Smazání exportu není odvolání. Pokud se staré zařízení ověřovalo certifikátem, server tomuto certifikátu stále důvěřuje, dokud není odvolán nebo znovu vydán. Pokud se ověřovalo sdíleným účtem, relace na tomto účtu mohou být stále živé. Udělejte krok na straně serveru, dokud máte hardware ještě před sebou.
Nový profil uložte s ostatními přihlašovacími údaji, když obsahuje klíč, a napište heslo do klienta, aby skončilo v nové klíčence, a ne v souboru. Poslední kontrola: připojte se z náhrady se starým Macem vypnutým. Předání, které funguje jen tehdy, když je zdrojový stroj online, nikdy nebylo úplné.