Flyt VPN-adgang til en ny Mac: hvad du skal skrive ned først
Et kopieret forbindelsesnavn er ikke en migreret identitet. Registrér klient, profilkilde og autorisationsvej, og opsæt og test derefter den nye Mac.
Migreringen fejler lydløst: forbindelsen vises i menulinjen, profilen importeres, og godkendelsen fejler alligevel, fordi den nye Mac ikke er en autoriseret enhed. Den gamle Mac bliver ved med at virke, hvilket gør det nemt at udskyde fejlen, indtil den gamle maskine er væk. En kort oversigt før skiftet forhindrer det meste. Skriv ned, hvad adgangen afhænger af, mens du stadig kan læse det på den fungerende maskine.
Kortlæg adgangen, mens den gamle Mac stadig forbinder
Begynd med klienten og protokollen, ikke med forbindelsesnavnet. Navnet er en etiket, som den gamle profil valgte; klientversionen, protokollen og endepunktet er det, den nye maskine skal genskabe. Notér også det præcise værtsnavn for endepunktet, for en udbydermigrering kan flytte det uden at ændre etiketten.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Identitetsposten vejer tungest. Et brugernavn og en engangskode kan indtastes på den nye Mac, et certifikat med eksporterbar nøgle kan nogle gange importeres, og et enhedsbundet certifikat med en ikke-eksporterbar nøgle kan slet ikke flyttes. Skriv ned, hvilken af dem du har, før du planlægger overgangen. Hvis to af svarene er uenige, skal du løse uenigheden, før du kopierer noget.
Notér til sidst den forventede netværksadfærd: fuld tunnel eller split-tunnel, hvilke interne navne der skal slås op, og om IPv6 forventes at køre inde i tunnelen. Det bliver de tests, der afgør, om migreringen lykkedes.
Adskil det, der kan kopieres, fra det, der skal genudstedes
Profiler på brugerniveau, serveradresser og præferencer kan normalt flyttes. Private nøgler, enhedscertifikater og tilmeldingsstikord kan ikke, fordi deres værdi afhænger af at være bundet til én maskine. Behandl dem som poster, der skal genudstedes, og spørg ejeren om den understøttede vej. Alt andet kan kopieres. Ejers proces, ikke migreringsguiden, afgør, hvilken kategori der gælder.
Stop her, hvis identiteten er enhedsbundet, og der ikke findes en vej til genudstedelse. At fortsætte med en kopieret nøgle fejler enten ved godkendelsen eller, værre, efterlader den samme legitimationsoplysning aktiv på to maskiner uden registrering af den anden.
Læg ikke en privat nøgle eller en gendannelseskode i et notat eller en chatbesked under flytningen. Brug nøgleringen, adgangskodeadministratoren eller organisationens escrow-proces, og tilmeld godkendelsesappen igen i stedet for at kopiere dens seed. Et migreringsnotat med en legitimationsoplysning bliver en anden kopi af den.
Opsæt den nye Mac via den understøttede vej
Hvis Mac'en administreres, skal du tilmelde den i det samme styringssystem, før du tilføjer manuel konfiguration. Styringssystemet ejer den håndhævede profil, og en håndimporteret profil ovenpå giver to sandhedskilder, der er uenige efter den næste politikændring.
På en ikke-administreret Mac installerer du klienten fra udbyderens aktuelle download og importerer profilen via den metode, udbyderen beskriver. Nyere macOS-versioner kræver godkendelse af VPN-konfigurationer og systemudvidelser under Anonymitet og sikkerhed, og en udvidelse kan kræve en genstart, før tunnelen kan starte. Apple beskriver den manuelle VPN-opsætningsvej, hvis du vil sammenligne den med udbyderens app.
Fjern dublerede definitioner, når den nye virker. En forældet post i Netværksindstillinger og appens egen profil kan begge pege på det samme endepunkt, og den, der forbinder, er ikke altid den, du tror, du redigerede.
Test de veje, den nye Mac faktisk bruger
Opret forbindelse, og bekræft at tunnelen bærer trafik; kontrollér derefter navneopslag og routing i stedet for at stole på ikonet i menulinjen. macOS rapporterer resolvere for hver grænseflade, så den interne DNS-server bør vises for tunnegrænsefladen, og interne navne bør slås op gennem den. Begge kommandoer nedenfor læser kun tilstand.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Stop, hvis et internt værtsnavn slås op til en offentlig adresse, eller hvis standardruten stadig peger på den fysiske grænseflade, når designet forventer en fuld tunnel. Begge er tegn på, at profilen blev importeret uden sine ruter, eller at en anden konfiguration tilsidesætter den.
Gentag testen efter dvale og efter at have tilsluttet et andet netværk. En forbindelse, der overlever det første login, men ikke et lukket låg er en migrering, der vil fejle i daglig brug, og at fange det, før den gamle Mac slettes, er hele pointen med tjeklisten.
Tag den gamle Mac ud af drift, og tilbagekald den
Hold den gamle enhed tilsluttet, indtil den nye består testene ovenfor. Tilbagekald derefter den gamle enhed via operatørens konsol eller styringssystemet; at slette appen på den gamle Mac tilbagekalder ikke dens identitet, og en kopieret profil kan stadig godkendes.
Fjern profilerne efter tilbagekaldelsen, log ud af kontoen, og slet disken, hvis maskinen forlader din kontrol. Tjek udbyderens enhedsliste én gang mere for at bekræfte, at den gamle post er væk, og at den nye er mærket korrekt.
Hvis en delt hemmelighed eller en teamlegitimation blev kopieret under flytningen, skal du rotere den nu i stedet for at vente på den næste planlagte ændring. Migreringen er færdig, når den gamle identitet er død, ikke når det nye ikon bliver grønt.