Beth sydd mewn allfrydiad VPN Mac, a beth mae'n ei adael ar ôl
Mae allfrydiad VPN Mac yn cario gosodiadau ac weithiau allwedd breifat, ond nid cyfrinair y gadwyn allweddi nac ymrestriad y ddyfais. Gwiriwch bob rhan yn gyntaf.
Cliciwch Export mewn cleient VPN Mac ac fe gewch ffeil sy'n disgrifio cysylltiad heb fod yn un. Mae cyfeiriad y gweinydd, y porth, y protocol ac yn aml y tystysgrifau y tu mewn iddi. Y cyfrinair mewngofnodi, yr ymadrodd cyfrinair ar allwedd breifat a'r ymrestriad sy'n awdurdodi'r Mac penodol hwn fel arfer nid ydynt. Dyna pam y gall proffil fewnforio'n lân, ymddangos yn rhestr y cleient, a methu o hyd wrth y cwestiwn dilysu cyntaf; mae'r bwlch yn briodwedd o'r fformat, nid yn lawrlwythiad llygredig.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Beth sydd mewn gwirionedd yn y ffeil a allfrydiwyd
Mae allfrydiad yn gynhwysydd, ac mae estyniad y ffeil yn dweud llai na'r cynnwys. Mae proffiliau OpenVPN yn destun: cyfarwyddiadau, ynghyd â blociau <ca>, <cert> a <key> mewnosodol dewisol. Mae gosodiadau Tunnelblick yn archifau cywasgedig o ffurfweddiadau a gosodiadau. Mae .mobileconfig a reolir yn blist o lwythi. Mae dau restriad yn ateb y rhan fwyaf o'r cwestiwn cyn i chi fewnforio unrhyw beth.
Ar gyfer proffil testun, cyfrwch y blociau PEM y mae'n eu cario: grep -c "PRIVATE KEY" your-profile.ovpn. Mae canlyniad nad yw'n sero yn golygu bod y ffeil yn dal deunydd allwedd a bod rhaid ei thrin fel cyfrinair o'r pwynt hwnnw ymlaen. Ar gyfer archif, rhestriwch hi heb ei dadbacio: tar -tf export.tbz, neu unzip -l export.zip os yw'r cleient wedi creu zip. Ffeiliau allwedd, ffeiliau tystysgrif a sgriptiau i fyny neu i lawr yn y rhestr honno yw'r rhannau na fydd ailgyhoeddi cyfrif defnyddiwr yn eu hail-greu.
Mae'r achos arall yr un mor bwysig. Pan fydd y proffil yn cyfeirio at allwedd wrth enw ffeil yn lle ei mewnosod, mae'r allfrydiad yn anghyflawn yn fwriadol a rhaid i'r hanner colli ddod oddi wrth y sawl a'i cyhoeddodd. Mae copïo'r ffeil honno wrth ei hymyl yn iawn pan fyddwch chi'n berchen ar yr awdurdod tystysgrif; nid yw'n iawn pan ddaeth y ffeil gyda thystysgrif rhwym wrth y ddyfais a gynhyrchwyd ar yr hen Mac.
Pam nad yw hanner y cadwyn allweddi byth yn teithio
Mae macOS yn cadw cyfrineiriau VPN ac ymadroddion cyfrinair allweddi yn y gadwyn allweddi mewngofnodi, ac mae cleientiaid yn eu storio yno yn hytrach nag yn eu ffeiliau gosodiadau eu hunain. Dywed Tunnelblick hynny yn ei ganllaw allfrydio a mewnforio: mae'r archif osod yn cario ffurfweddiadau a gosodiadau ac yn gadael allan yr enwau defnyddwyr, y cyfrineiriau a'r ymadroddion cyfrinair a gedwir yn y gadwyn allweddi. Mae'r hepgoriad yn fwriadol. Mae eitemau'r gadwyn allweddi yn cael eu hamddiffyn fesul defnyddiwr a fesul peiriant, felly nid oes gan eitem a gopïwyd unrhyw reolaeth mynediad dilys ar y gyrchfan, sy'n gadael naill ai ffeil ddiwerth neu gyfrinach mewn testun plaen.
Gallwch gadarnhau ble mae'r cymhwyster yn byw cyn cynllunio'r symudiad. Mae security find-internet-password -s vpn.example.com yn argraffu priodoleddau ar gyfer eitem sy'n cyfateb ac yn gorffen â chod nad yw'n sero pan nad oes un; byddai'r un gorchymyn gyda -g yn gofyn am ddatgelu'r cyfrinair, a dyna pam mai'r ymholiad hebddi yw'r prawf mwy diogel. Mae canfyddiad yno yn golygu nad yw'r proffil yn cario'r cyfrinair ac na ellir ei orfodi i wneud hynny. Mae hefyd yn golygu y bydd y cyfrinair yn cael ei ofyn eto ar y Mac newydd, ac nad yw grant «Caniatáu bob amser» ar yr hen un yn cyfrif am ddim yno.
Nid yw pob cyfrinach yn eitem gadwyn allweddi, fodd bynnag. Mae dogfennaeth becyn Tunnelblick ei hun yn nodi y gall pecyn gynnwys ffeiliau allwedd, tystysgrif a sgript. Felly nid yw'r allfrydiad sy'n hepgor cofnodion y gadwyn allweddi yr un honiad â bod yr allfrydiad yn ddiogel i'w e-bostio; triniwch yr archif fel un sensitif nes i chi restru beth sydd ynddi.
Nid oes gan VPN brodorol a reolir unrhyw lwybr allfrydio
Nid yw cysylltiadau a ffurfweddir trwy Gosodiadau'r System yn cynnig allfrydiad a gefnogir. Mae scutil --nc list yn dangos y gwasanaethau y mae'r system yn eu hadnabod, ac mae scutil --nc show "Work VPN" yn argraffu ffurfweddiad un gwasanaeth, digon i ddarllen ei weinydd a'i brotocol. Nid yw'r naill na'r llall yn offeryn mudo. Mae'r dynodwyr gwasanaeth a storir yn /Library/Preferences/SystemConfiguration/preferences.plist yn gyfeiriadau i mewn i'r ffeil honno, felly nid yw copïo'r ffeil ac ailysgrifennu dynodwyr yn drosglwyddiad a gefnogir a gall amharu ar wasanaethau rhwydwaith di-gyswllt ar y gyrchfan.
Y llwybr a gefnogir yw'r un y mae Apple yn ei ddogfennu: gosod ffeil gosodiadau VPN a ddarperir gan weinyddwr, neu nodi'r gosodiadau y mae'r gweithredwr yn eu rhoi i chi. Pan fydd y cysylltiad yn cael ei reoli, gofynnwch am ffeil newydd neu ymrestriad newydd yn lle ei ailadeiladu o sgrinlun o'r hen ddeialog. Ar gyfer proffil a wthir gan MDM, gall y llwyth tystysgrif gario'r hunaniaeth tra bod yr allwedd breifat yn cael ei chynhyrchu ar y ddyfais, ac yn yr achos hwnnw ni all hyd yn oed copi di-fai o'r hen broffil ddilysu'r Mac newydd.
Gwiriwch yr adferiad yn hytrach na throi at y rhestr
Mae proffil yn y rhestr a thwnnel sy'n gweithio yn ddau gyflwr gwahanol, a dim ond un ohonynt sy'n werth ei adrodd. Ar ôl mewnforio a chysylltu, gwiriwch fod y rhyngwyneb twnnel yn bodoli, yna gwiriwch beth mae'r twnnel yn ei wneud.
ifconfig | grep -A3 utun yn dangos rhyngwyneb y twnnel a'i gyfeiriadau. scutil --dns | grep nameserver yn dangos pa ddatryswyr sy'n weithredol ar ôl y cysylltiad, a dyna lle mae proffiliau split-DNS fel arfer yn gwahanu. Yna cyrraedd yr adnodd sy'n wirioneddol bwysig: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Os yw'r tri yn pasio, mae gosodiadau, DNS a llwybrau wedi cyrraedd; nid yw eicon gwyrdd yn y cleient yn golygu dim o hynny ar ei ben ei hun.
Mae dau fethiant yn ymddangos yn aml ar ôl mewnforio ac mae'r ddau yn cael eu beio ar y ffeil. Mae enwau cyhoeddus yn datrys tra nad yw rhai mewnol yn aml yn golygu bod gweinyddwyr DNS y proffil wedi'u gollwng neu nad yw split-DNS wedi'i gadw. Mae twnnel sy'n codi ac nad yw'n pasio unrhyw draffig fel arfer yn golygu nad yw llwybrau nac awdurdodiad ochr y gweinydd wedi dilyn y proffil. Mae ailfewnforio'r un archif yn atgynhyrchu'r ddau.
Cyn i chi ymddeol yr hen Mac
Nid yw dileu'r allfrydiad yn ddirymiad. Os oedd yr hen ddyfais wedi dilysu gyda thystysgrif, mae'r gweinydd yn dal i ymddiried yn y dystysgrif honno nes iddi gael ei dirymu neu ei hailgyhoeddi. Os oedd wedi dilysu gyda chyfrif a rennir, gall sesiynau ar y cyfrif hwnnw fod yn fyw o hyd. Gwnewch y cam ar ochr y gweinydd tra bod y caledwedd o hyd o'ch blaen.
Storiwch y proffil newydd gyda'ch cymwysterau eraill pan fydd yn cynnwys allwedd, a theipiwch y cyfrinair i'r cleient fel ei fod yn glanio yn y gadwyn allweddi newydd yn hytrach nag mewn ffeil. Gwirio olaf: cysylltwch o'r disodliad gyda'r hen Mac wedi'i ddiffodd. Ni fu traddodiad sy'n gweithio dim ond tra bod y peiriant ffynhonnell ar-lein yn un cyflawn erioed.