Qué contiene una exportación de VPN de Mac y qué deja atrás
Una exportación de VPN de Mac lleva ajustes y a veces una clave privada, pero no la contraseña del llavero ni el registro del dispositivo. Revise cada parte primero.
Haga clic en Export en un cliente VPN de Mac y obtendrá un archivo que describe una conexión sin serlo. La dirección del servidor, el puerto, el protocolo y a menudo los certificados están dentro. La contraseña de inicio de sesión, la frase de contraseña de una clave privada y el registro que autoriza a este Mac en concreto normalmente no. Por eso un perfil puede importarse limpiamente, aparecer en la lista del cliente y aun así fallar en la primera solicitud de autenticación; el hueco es una propiedad del formato, no una descarga corrupta.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Qué contiene realmente el archivo exportado
Una exportación es un contenedor, y la extensión del archivo dice menos que el contenido. Los perfiles de OpenVPN son texto: directivas, más bloques incrustados opcionales <ca>, <cert> y <key>. Las configuraciones de Tunnelblick son archivos comprimidos de configuraciones y ajustes. Un .mobileconfig gestionado es un plist de cargas útiles. Dos listados responden a la mayor parte de la pregunta antes de que importe nada.
Para un perfil de texto, cuente los bloques PEM que lleva: grep -c "PRIVATE KEY" your-profile.ovpn. Un resultado distinto de cero significa que el archivo contiene material de clave y debe tratarse como una contraseña desde ese momento. Para un archivo comprimido, lístelo sin extraerlo: tar -tf export.tbz, o unzip -l export.zip si el cliente produjo un zip. Los archivos de clave, los de certificado y los scripts de subida o bajada de ese listado son las partes que la reemisión de una cuenta de usuario no recreará.
El caso contrario importa igual. Cuando el perfil apunta a una clave por nombre de archivo en lugar de incrustarla, la exportación está incompleta a propósito y la mitad que falta tiene que venir de quien la emitió. Copiar ese archivo al lado está bien cuando usted posee la autoridad de certificación; no está bien cuando el archivo venía con un certificado vinculado al dispositivo que se generó en el Mac antiguo.
Por qué la mitad del llavero nunca viaja
macOS guarda las contraseñas de VPN y las frases de contraseña de las claves en el llavero de inicio de sesión, y los clientes las almacenan allí en lugar de en sus propios archivos de ajustes. Tunnelblick lo dice en su guía de exportación e importación: el archivo de configuración lleva configuraciones y ajustes y deja fuera los nombres de usuario, las contraseñas y las frases de contraseña que se guardan en el llavero. La omisión es deliberada. Los elementos del llavero están protegidos por usuario y por máquina, así que un elemento copiado no tiene un control de acceso válido en el destino, lo que deja o bien un archivo inútil o bien un secreto en texto plano.
Puede confirmar dónde vive la credencial antes de planear el traslado. security find-internet-password -s vpn.example.com imprime los atributos de un elemento coincidente y termina con un código distinto de cero cuando no hay ninguno; el mismo comando con -g pediría revelar la contraseña, por eso la consulta sin esa opción es la comprobación más segura. Un resultado allí significa que el perfil no lleva la contraseña y no se le puede obligar a llevarla. También significa que la contraseña se pedirá de nuevo en el Mac nuevo, y un permiso «Permitir siempre» en el viejo allí no cuenta para nada.
No todo secreto es un elemento del llavero, sin embargo. La documentación del paquete de Tunnelblick señala que un paquete puede contener archivos de clave, de certificado y de script. Así que el hecho de que la exportación excluya las entradas del llavero no es la misma afirmación que decir que la exportación es segura para enviar por correo; trate el archivo como sensible hasta que haya listado qué hay dentro.
Las VPN nativas y gestionadas no tienen ruta de exportación
Las conexiones configuradas mediante Ajustes del Sistema no ofrecen una exportación compatible. scutil --nc list muestra los servicios que el sistema conoce, y scutil --nc show "Work VPN" imprime la configuración de un servicio, suficiente para leer su servidor y su protocolo. Ninguna de las dos es una herramienta de migración. Los identificadores de servicio guardados en /Library/Preferences/SystemConfiguration/preferences.plist son referencias dentro de ese archivo, así que copiar el archivo y reescribir identificadores no es un traslado compatible y puede perturbar servicios de red no relacionados en el destino.
La ruta compatible es la que Apple documenta: instale un archivo de ajustes de VPN proporcionado por el administrador, o introduzca los ajustes que le dé el operador. Cuando la conexión es gestionada, pida un archivo nuevo o un registro nuevo en lugar de reconstruirla a partir de una captura del diálogo antiguo. Para un perfil empujado por MDM, la carga del certificado puede llevar la identidad mientras la clave privada se genera en el dispositivo, y en ese caso ni una copia impecable del perfil antiguo puede autenticar el Mac nuevo.
Verifique la restauración en lugar de confiar en la lista
Un perfil en la lista y un túnel que funciona son dos estados distintos, y solo uno de ellos merece informarse. Después de importar y conectar, compruebe que la interfaz del túnel existe y luego compruebe qué hace el túnel.
ifconfig | grep -A3 utun muestra la interfaz del túnel y sus direcciones. scutil --dns | grep nameserver muestra qué resolutores están activos después de la conexión, y es ahí donde los perfiles de split-DNS suelen divergir. Luego alcance el recurso que realmente importa: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Si los tres pasan, los ajustes, el DNS y las rutas han llegado; un icono verde en el cliente no significa nada de eso por sí solo.
Dos fallos aparecen a menudo después de una importación y ambos se achacan al archivo. Que los nombres públicos se resuelvan y los internos no suele significar que los servidores DNS del perfil se perdieron o que el split-DNS no se conservó. Un túnel que levanta y no pasa tráfico suele significar que las rutas o la autorización del lado del servidor no siguieron el perfil. Reimportar el mismo archivo reproduce ambos.
Antes de retirar el Mac antiguo
Borrar la exportación no es revocar. Si el dispositivo antiguo se autenticaba con un certificado, el servidor sigue confiando en ese certificado hasta que se revoque o se reemita. Si se autenticaba con una cuenta compartida, las sesiones de esa cuenta pueden seguir vivas. Haga el paso del lado del servidor mientras el hardware todavía está delante de usted.
Guarde el perfil nuevo con sus otras credenciales cuando contenga una clave, y escriba la contraseña en el cliente para que acabe en el llavero nuevo y no en un archivo. Última comprobación: conéctese desde el reemplazo con el Mac antiguo apagado. Un traspaso que solo funciona mientras la máquina de origen está en línea nunca fue completo.