Kion enhavas Mac VPN-eksporto kaj kion ĝi lasas malantaŭe
Mac VPN-eksporto portas agordojn kaj foje privatan ŝlosilon, sed ne la pasvorton de la ŝlosilaro nek la registriĝon de la aparato. Kontrolu ĉiun parton unue.
Klaku Export en Mac VPN-kliento kaj vi ricevos dosieron, kiu priskribas konekton sen esti konekto. La servila adreso, la pordo, la protokolo kaj ofte la atestiloj troviĝas interne. La salutpasvorto, la pasfrazo de privata ŝlosilo kaj la registriĝo, kiu rajtigas ĝuste ĉi tiun Mac, kutime ne. Tial profilo povas enportiĝi pure, aperi en la klienta listo kaj tamen malsukcesi ĉe la unua aŭtentiga peto; la manko estas eco de la formato, ne difektita elŝuto.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Kion la eksportita dosiero efektive enhavas
Eksporto estas ujo, kaj la dosiera finaĵo diras malpli ol la enhavo. OpenVPN-profiloj estas teksto: instrukcioj, plus laŭvolaj enliniaj blokoj <ca>, <cert> kaj <key>. Tunnelblick-agordoj estas kunpremitaj arkivoj de agordoj kaj konfiguroj. Administrata .mobileconfig estas plist de utilaj ŝarĝoj. Du listigoj respondas al la plej granda parto de la demando antaŭ ol vi enportas ion ajn.
Por teksta profilo, kalkulu la PEM-blokojn, kiujn ĝi portas: grep -c "PRIVATE KEY" your-profile.ovpn. Ne-nula rezulto signifas, ke la dosiero enhavas ŝlosilan materialon kaj devas esti traktata kiel pasvorto de tiu punkto. Por arkivo, listigu ĝin sen malpaki: tar -tf export.tbz, aŭ unzip -l export.zip se la kliento produktis zip. Ŝlosilaj dosieroj, atestilaj dosieroj kaj supren aŭ malsupren skriptoj en tiu listigo estas la partoj, kiujn reeldono de uzantkonto ne rekreados.
La kontraŭa kazo same gravas. Kiam la profilo montras al ŝlosilo per dosiernomo anstataŭ enigi ĝin, la eksporto estas intence nekompleta kaj la mankanta duono devas veni de tiu, kiu eldonis ĝin. Kopii tiun dosieron apude estas en ordo, kiam vi posedas la atestilan aŭtoritaton; ĝi ne estas en ordo, kiam la dosiero venis kun aparate ligita atestilo, kiu estis generita sur la malnova Mac.
Kial la duono de la ŝlosilaro neniam vojaĝas
macOS tenas VPN-pasvortojn kaj ŝlosilajn pasfrazojn en la ensaluta ŝlosilaro, kaj klientoj stokas ilin tie anstataŭ en siaj propraj agordaj dosieroj. Tunnelblick diras tion en sia gvidilo pri eksporto kaj enporto: la agorda arkivo portas konfigurojn kaj agordojn kaj lasas ekstere la uzantnomojn, pasvortojn kaj pasfrazojn tenatajn en la ŝlosilaro. La preterlaso estas intenca. Ŝlosilaraj eroj estas protektitaj po uzanto kaj po maŝino, do kopiita ero havas neniun validan alirkontrolon ĉe la celo, kio lasas aŭ senutilan dosieron aŭ sekreton en klara teksto.
Vi povas konfirmi, kie la akreditaĵo loĝas, antaŭ ol plani la translokigon. security find-internet-password -s vpn.example.com presas atributojn por kongrua ero kaj finiĝas per ne-nula kodo, kiam neniu ekzistas; la sama komando kun -g petus malkaŝi la pasvorton, tial la demando sen ĝi estas la pli sekura kontrolo. Trafo tie signifas, ke la profilo ne portas la pasvorton kaj ne povas esti devigita fari tion. Ĝi ankaŭ signifas, ke la pasvorto estos denove petita sur la nova Mac, kaj permeso «Ĉiam permesi» sur la malnova tie nenion valoras.
Tamen ne ĉiu sekreto estas ŝlosilara ero. La propra paka dokumentaro de Tunnelblick rimarkigas, ke pako povas enhavi ŝlosilajn, atestilajn kaj skriptajn dosierojn. Do tio, ke la eksporto ekskludas ŝlosilarajn erojn, ne estas la sama aserto kiel tio, ke la eksporto estas sendanĝera por retpoŝti; traktu la arkivon kiel senteman ĝis vi listigos, kio estas en ĝi.
Denaskaj kaj administrataj VPN-oj havas neniun eksportan vojon
Konektoj agorditaj per Sistemaj Agordoj ne ofertas subtenatan eksporton. scutil --nc list montras la servojn, kiujn la sistemo konas, kaj scutil --nc show "Work VPN" presas la konfiguron de unu servo, sufiĉe por legi ĝian servilon kaj protokolon. Neniu el ili estas migrada ilo. La servaj identigiloj stokitaj en /Library/Preferences/SystemConfiguration/preferences.plist estas referencoj en tiun dosieron, do kopii la dosieron kaj reskribi identigilojn ne estas subtenata transigo kaj povas perturbi nerilatajn retajn servojn ĉe la celo.
La subtenata vojo estas tiu, kiun Apple dokumentas: instalu VPN-agordan dosieron provizitan de administranto, aŭ entajpu la agordojn, kiujn la funkciigisto donas al vi. Kiam la konekto estas administrata, petu freŝan dosieron aŭ freŝan registriĝon anstataŭ rekonstrui ĝin el ekrankopio de la malnova dialogo. Por profilo puŝita de MDM, la atestila ŝarĝo povas porti la identecon dum la privata ŝlosilo estas generita sur la aparato, kaj en tiu kazo eĉ senmakula kopio de la malnova profilo ne povas aŭtentigi la novan Mac.
Kontrolu la restaŭron anstataŭ fidi la liston
Profilo en la listo kaj funkcianta tunelo estas du malsamaj statoj, kaj nur unu el ili indas esti raportita. Post enporto kaj konekto, kontrolu, ĉu la tunela interfaco ekzistas, poste kontrolu, kion faras la tunelo.
ifconfig | grep -A3 utun montras la tunelan interfacon kaj ĝiajn adresojn. scutil --dns | grep nameserver montras, kiuj solvantoj estas aktivaj post la konekto, kaj ĝuste tie split-DNS-profiloj kutime diverĝas. Poste atingi la rimedon, kiu vere gravas: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Se ĉiuj tri pasas, agordoj, DNS kaj vojoj alvenis; verda ikono en la kliento mem signifas nenion el tio.
Du fiaskoj ofte aperas post enporto kaj ambaŭ estas kulpigataj al la dosiero. Ke publikaj nomoj solviĝas dum internaj ne, kutime signifas, ke la DNS-serviloj de la profilo estis forigitaj aŭ split-DNS ne estis konservita. Tunelo, kiu leviĝas kaj trapasigas neniun trafikon, kutime signifas, ke vojoj aŭ servilaflanka rajtigo ne sekvis la profilon. Reenporti la saman arkivon reproduktas ambaŭ.
Antaŭ ol vi retiriĝos la malnovan Mac
Forigi la eksporton ne estas revokado. Se la malnova aparato aŭtentigis per atestilo, la servilo ankoraŭ fidas tiun atestilon ĝis ĝi estos revokita aŭ reeldonita. Se ĝi aŭtentigis per komuna konto, sesioj sur tiu konto povas ankoraŭ vivi. Faru la servilaflankan paŝon dum la aparataro ankoraŭ estas antaŭ vi.
Stoku la novan profilon kun viaj aliaj akreditaĵoj, kiam ĝi enhavas ŝlosilon, kaj entajpu la pasvorton en la klienton, por ke ĝi finiĝu en la nova ŝlosilaro anstataŭ en dosiero. Lasta kontrolo: konektu de la anstataŭaĵo kun la malnova Mac malŝaltita. Transdono, kiu funkcias nur dum la fontmaŝino estas enreta, neniam estis kompleta.