Translokigi VPN-alkliron al nova Mac: kion unue noti
Kopiita konekta nomo ne estas migrita identeco. Notu la klienton, la fonton de la profilo kaj la aŭtorigan vojon, poste pretigu kaj testu la novan Mac.
La migrado malsukcesas silente: la konekto aperas en la menubreto, la profilo importiĝas, kaj la aŭtentigo tamen malsukcesas ĉar la nova Mac ne estas rajtigita aparato. La malnova Mac daŭre funkcias, kio faciligas prokrasti la eraron ĝis la malnova maŝino malaperos. Mallonga inventaro antaŭ la ŝanĝo malhelpas la plejparton. Notu, de kio dependas la aliro, dum vi ankoraŭ povas legi tion sur la funkcianta maŝino.
Inventaru la aliron dum la malnova Mac ankoraŭ konektas
Komencu per la kliento kaj la protokolo, ne per la konekta nomo. La nomo estas etikedo elektita de la malnova profilo; la klienta versio, la protokolo kaj la finpunkto estas tio, kion la nova maŝino devas reprodukti. Notu ankaŭ la precizan gastigantnomon de la finpunkto, ĉar migrado de la provizanto povas movi ĝin sen ŝanĝi la etikedon.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
La identeca ero pezas plej multe. Uzantnomo kaj unu-uza kodo povas esti entajpitaj sur la nova Mac, atestilo kun eksportebla ŝlosilo foje povas esti importita, kaj aparato-ligita atestilo kun ne-eksportebla ŝlosilo tute ne povas esti translokigita. Notu, kiu el tiuj kazoj validas, antaŭ ol plani la transiron. Se du el tiuj respondoj malkongruas, solvu la malkongruon antaŭ ol kopii ion ajn.
Fine, notu la atendatan retan konduton: plena tunelo aŭ dividita tunelo, kiuj internaj nomoj devas esti solvitaj, kaj ĉu IPv6 devas vojaĝi ene de la tunelo. Tio fariĝos la testoj, kiuj decidos, ĉu la migrado sukcesis.
Apartigu tion, kio povas esti kopiita, de tio, kio devas esti reedonita
Profiloj je uzantnivelo, servilaj adresoj kaj preferoj kutime estas porteblaj. Privataj ŝlosiloj, aparataj atestiloj kaj enskribiĝaj ĵetonoj ne estas, ĉar ilia valoro dependas de ligiteco al unu maŝino. Traktu ilin kiel erojn, kiuj devas esti reedonitaj, kaj demandu la posedanton pri la subtenata vojo. Ĉio alia povas esti kopiita. La procezo de la posedanto, ne la migrada asistanto, decidas, kiu kategorio validas.
Haltu ĉi tie, se la identeco estas aparato-ligita kaj neniu vojo por reedono ekzistas. Daŭrigi kun kopiita ŝlosilo malsukcesas ĉe la aŭtentigo aŭ, pli malbone, lasas la saman legitimilon aktiva sur du maŝinoj sen iu registro pri la dua.
Ne lasu privatan ŝlosilon aŭ rekuperan kodon en noto aŭ babilmesaĝo dum la translokigo. Uzu la ŝlosilaron, la pasvortan administrilon aŭ la eskroan procezon de la organizaĵo, kaj reenskribu la aŭtentigilon anstataŭ kopii ĝian semon. Migrada noto, kiu enhavas legitimilon, fariĝas dua kopio de tiu legitimilo.
Pretigu la novan Mac per la subtenata vojo
Se la Mac estas administrata, enskribu ĝin en la sama administra sistemo antaŭ ol aldoni manan agordon. La administra sistemo posedas la devigan profilon, kaj mane importita profilo supre kreas du fontojn de vero, kiuj malkongruas post la sekva politika ŝanĝo.
Sur neadministrata Mac, instalu la klienton el la aktuala elŝuto de la provizanto kaj importu la profilon per la metodo, kiun dokumentas la provizanto. Lastatempaj macOS-versioj postulas aprobon por VPN-agordoj kaj sistemaj etendaĵoj en Privateco kaj sekureco, kaj etendaĵo eble bezonas restartigon antaŭ ol la tunelo povas starti. Apple dokumentas la manan VPN-agordan vojon se vi volas kompari ĝin kun la provizanta aplikaĵo.
Forigu duoblajn difinojn, kiam la nova funkcias. Malnova enskribo en Retagordoj kaj la propra profilo de la aplikaĵo povas ambaŭ montri al la sama finpunkto, kaj tiu, kiu konektas, ne ĉiam estas tiu, kiun vi pensas, ke vi redaktis.
Testu la vojojn, kiujn la nova Mac efektive uzos
Konektu kaj konfirmu, ke la tunelo portas trafikon; poste kontrolu nomrezolvon kaj enkursigon anstataŭ fidi la ikonon en la menubreto. macOS raportas solvilojn laŭ interfaco, do la interna DNS-servilo devus aperi por la tunela interfaco, kaj internaj nomoj devus esti solvitaj per ĝi. Ambaŭ komandoj sube nur legas la staton.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Haltu, se interna gastigantnomo solviĝas al publika adreso aŭ se la defaŭlta vojo ankoraŭ montras la fizikan interfacon, kiam la dezajno atendas plenan tunelon. Ambaŭ estas signoj, ke la profilo estis importita sen siaj vojoj aŭ ke alia agordo superregas ĝin.
Ripetu la teston post dormo kaj post aliĝo al alia reto. Konekto, kiu postvivas la unuan saluton sed ne fermon de la kovrilo estas migrado, kiu malsukcesos en ĉiutaga uzo, kaj kapti tion antaŭ ol la malnova Mac estas viŝita estas la celo de la kontrol-listo.
Retiru la malnovan Mac kaj revoku ĝin
Tenu la malnovan aparaton konektita, ĝis la nova trapasos la suprajn testojn. Poste revoku la malnovan aparaton per la konzolo de la operatoro aŭ la administra sistemo; forigi la aplikaĵon de la malnova Mac ne revokas ĝian identecon, kaj kopiita profilo ankoraŭ povas aŭtentigi.
Post la revoko forigu la profilojn, elsalutu el la konto kaj viŝu la diskon, se la maŝino forlasas vian kontrolon. Kontrolu ankoraŭfoje la aparatliston de la provizanto por konfirmi, ke la malnova enskribo malaperis kaj la nova estas ĝuste etikedita.
Se dum la translokigo estis kopiita komuna sekreto aŭ teama legitimilo, rotaciu ĝin nun anstataŭ atendi la sekvan planitan ŝanĝon. La migrado finiĝas, kiam la malnova identeco estas morta, ne kiam la nova ikono verdiĝas.