VPN-Zugang auf einen neuen Mac umziehen: Was zuerst festgehalten werden muss

Die Migration scheitert leise: Die Verbindung erscheint in der Menüleiste, das Profil lässt sich importieren, und die Anmeldung scheitert trotzdem, weil der neue Mac kein autorisiertes Gerät ist. Der alte Mac läuft weiter, weshalb sich der Fehler leicht aufschieben lässt, bis der alte Rechner weg ist. Ein kurzes Inventar vor dem Wechsel verhindert das meiste davon. Schreiben Sie auf, wovon der Zugang abhängt, solange Sie es noch am funktionierenden Rechner ablesen können.

Den Zugang erfassen, solange der alte Mac noch verbindet

Beginnen Sie beim Client und beim Protokoll, nicht beim Verbindungsnamen. Der Name ist ein Etikett, das das alte Profil gewählt hat; Client-Version, Protokoll und Endpunkt muss der neue Rechner nachbilden. Notieren Sie auch den genauen Hostnamen des Endpunkts, denn ein Anbieterwechsel kann ihn verschieben, ohne das Etikett zu ändern.

Der Eintrag zur Identität wiegt am schwersten. Benutzername und Einmalcode lassen sich auf dem neuen Mac eingeben, ein Zertifikat mit exportierbarem Schlüssel lässt sich manchmal importieren, und ein gerätegebundenes Zertifikat mit nicht exportierbarem Schlüssel lässt sich überhaupt nicht übertragen. Halten Sie fest, welcher Fall vorliegt, bevor Sie die Umstellung planen. Widersprechen sich zwei dieser Antworten, klären Sie den Widerspruch, bevor Sie irgendetwas kopieren.

Notieren Sie schließlich das erwartete Netzverhalten: Volltunnel oder Split-Tunnel, welche internen Namen aufgelöst werden müssen und ob IPv6 im Tunnel erwartet wird. Daraus werden die Tests, die entscheiden, ob die Migration geklappt hat.

Trennen, was kopiert werden kann, von dem, was neu ausgestellt werden muss

Profile auf Benutzerebene, Serveradressen und Einstellungen sind meist übertragbar. Private Schlüssel, Gerätezertifikate und Enrollment-Token sind es nicht, weil ihr Wert an eine bestimmte Maschine gebunden ist. Behandeln Sie diese als Posten, die neu ausgestellt werden müssen, und fragen Sie den Eigentümer nach dem unterstützten Weg. Alles andere darf kopiert werden. Der Prozess des Eigentümers entscheidet, nicht der Migrationsassistent.

Hören Sie hier auf, wenn die Identität gerätegebunden ist und kein Weg zur Neuausstellung existiert. Mit einem kopierten Schlüssel weiterzumachen scheitert entweder bei der Anmeldung oder, schlimmer, lässt dieselbe Berechtigung auf zwei Rechnern aktiv, ohne dass der zweite irgendwo erfasst ist.

Legen Sie während des Umzugs keinen privaten Schlüssel und keinen Wiederherstellungscode in einer Notiz oder einer Chatnachricht ab. Nutzen Sie den Schlüsselbund, den Passwortmanager oder das Escrow-Verfahren der Organisation, und registrieren Sie den Authenticator neu, statt seinen Seed zu kopieren. Eine Migrationsnotiz mit einer Berechtigung wird zu einer zweiten Kopie dieser Berechtigung.

Den neuen Mac über den unterstützten Weg einrichten

Ist der Mac verwaltet, melden Sie ihn im selben Managementsystem an, bevor Sie manuelle Konfiguration hinzufügen. Das Managementsystem besitzt das durchgesetzte Profil; ein von Hand importiertes Profil darüber erzeugt zwei Wahrheiten, die nach der nächsten Richtlinienänderung auseinanderlaufen.

Auf einem nicht verwalteten Mac installieren Sie den Client über den aktuellen Download des Anbieters und importieren das Profil mit der Methode, die der Anbieter dokumentiert. Neuere macOS-Versionen verlangen unter Datenschutz und Sicherheit eine Freigabe für VPN-Konfigurationen und Systemerweiterungen, und eine Erweiterung braucht unter Umständen einen Neustart, bevor der Tunnel startet. Apple beschreibt den manuellen VPN-Einrichtungsweg, falls Sie ihn mit der Anbieter-App vergleichen möchten.

Entfernen Sie doppelte Definitionen, sobald die neue funktioniert. Ein veralteter Eintrag in den Netzwerkeinstellungen und das eigene Profil der App können beide auf denselben Endpunkt zeigen, und der Eintrag, der verbindet, ist nicht immer der, den Sie bearbeitet zu haben glauben.

Die Wege testen, die der neue Mac tatsächlich nutzt

Stellen Sie die Verbindung her und prüfen Sie, ob der Tunnel Daten trägt; kontrollieren Sie dann Namensauflösung und Routing, statt dem Symbol in der Menüleiste zu vertrauen. macOS meldet Resolver je Schnittstelle, also sollte der interne DNS-Server bei der Tunnelschnittstelle erscheinen, und interne Namen sollten darüber aufgelöst werden. Beide Befehle unten lesen nur den Zustand.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Brechen Sie ab, wenn ein interner Hostname auf eine öffentliche Adresse auflöst oder die Standardroute weiter auf die physische Schnittstelle zeigt, obwohl der Entwurf einen Volltunnel vorsieht. Beides sind Zeichen dafür, dass das Profil ohne seine Routen importiert wurde oder dass eine andere Konfiguration es übersteuert.

Wiederholen Sie den Test nach dem Ruhezustand und nach dem Wechsel in ein anderes Netz. Eine Verbindung, die die erste Anmeldung übersteht, aber kein Zuklappen des Deckels, ist eine Migration, die im Alltag scheitern wird, und genau das vor dem Löschen des alten Mac zu erkennen, ist der Sinn der Checkliste.

Den alten Mac außer Betrieb nehmen und sperren

Lassen Sie das alte Gerät verbunden, bis das neue die obigen Tests besteht. Sperren Sie dann das alte Gerät über die Konsole des Betreibers oder das Managementsystem; das Löschen der App auf dem alten Mac widerruft seine Identität nicht, und ein kopiertes Profil kann sich weiterhin anmelden.

Entfernen Sie nach der Sperrung die Profile, melden Sie sich vom Konto ab und löschen Sie den Datenträger, wenn der Rechner Ihre Kontrolle verlässt. Prüfen Sie die Geräteliste des Anbieters noch einmal, um zu bestätigen, dass der alte Eintrag verschwunden und der neue korrekt beschriftet ist.

Wurde während des Umzugs ein gemeinsames Geheimnis oder eine Team-Berechtigung kopiert, wechseln Sie es jetzt, statt auf die nächste geplante Änderung zu warten. Die Migration ist fertig, wenn die alte Identität tot ist, nicht wenn das neue Symbol grün wird.