VPN juurdepääsu üleviimine uude Maci: mida esmalt üles kirjutada
Kopeeritud ühenduse nimi ei ole migreeritud identiteet. Kirjutage üles klient, profiili allikas ja autoriseerimise tee, seejärel seadistage ja testige uut Maci.
Migratsioon ebaõnnestub vaikselt: ühendus ilmub menüüribale, profiil imporditakse ja autentimine ebaõnnestub ikkagi, sest uus Mac ei ole autoriseeritud seade. Vana Mac töötab edasi, mistõttu on tõrget lihtne edasi lükata, kuni vana masinat enam pole. Enne üleminekut tehtud lühike loend hoiab ära suurema osa sellest. Kirjutage üles, millest juurdepääs sõltub, kuni saate seda veel töötavalt masinalt lugeda.
Inventeerige juurdepääs, kuni vana Mac veel ühendub
Alustage kliendist ja protokollist, mitte ühenduse nimest. Nimi on silt, mille valis vana profiil; kliendi versioon, protokoll ja lõpp-punkt on see, mida uus masin peab kordama. Kirjutage üles ka lõpp-punkti täpne hostinimi, sest teenusepakkuja migratsioon võib selle teisaldada ilma silti muutmata.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Identiteedi kirje kaalub kõige rohkem. Kasutajanime ja ühekordse koodi saab uude Maci sisestada, eksporditava võtmega sertifikaadi saab mõnikord importida, kuid seadmega seotud mitteeksporditava võtmega sertifikaati ei saa üldse üle viia. Kirjutage üles, milline neist juhtudest kehtib, enne kui üleminekut plaanite. Kui kaks neist vastustest ei klapi, lahendage vastuolu enne, kui midagi kopeerite.
Lõpuks kirjutage üles oodatav võrgukäitumine: täistunnel või jaotatud tunnel, millised sisemised nimed tuleb lahendada ja kas tunnelis oodatakse IPv6-t. Sellest saavad testid, mis otsustavad, kas migratsioon õnnestus.
Eraldage see, mida saab kopeerida, sellest, mille peab uuesti välja andma
Kasutajatasandi profiilid, serveriaadressid ja eelistused on tavaliselt ülekantavad. Privaatvõtmed, seadmesertifikaadid ja registreerimistokenid ei ole, sest nende väärtus sõltub seotusest ühe masinaga. Käsitlege neid uuesti väljaantavate kirjetena ja küsige omanikult toetatud teed. Kõike muud saab kopeerida. Kategooria otsustab omaniku protsess, mitte migratsiooniviisard.
Peatuge siin, kui identiteet on seadmega seotud ja uuesti väljaandmise teed ei ole. Kopeeritud võtmega jätkamine ebaõnnestub kas autentimisel või, hullem, jätab samad volitusandmed aktiivseks kahes masinas ilma teise kohta ühegi kirjeta.
Ärge jätke üleviimise ajal privaatvõtit ega taastamiskoodi märkmesse ega vestlusesse. Kasutage võtmehoidjat, paroolihaldurit või organisatsiooni escrow-protsessi ja registreerige autentija uuesti, selle asemel et kopeerida selle seeme. Volitusandmeid sisaldav migratsioonimärge muutub nende andmete teiseks koopiaks.
Seadistage uus Mac toetatud teel
Kui Mac on hallatav, registreerige see samas haldussüsteemis enne käsitsi konfiguratsiooni lisamist. Haldussüsteemile kuulub pealesurutud profiil ja käsitsi imporditud profiil selle peal loob kaks tõeallikat, mis lähevad pärast järgmist poliitikamuudatust lahku.
Haldamata Macis installige klient teenusepakkuja praegusest allalaadimisest ja importige profiil meetodiga, mida teenusepakkuja dokumenteerib. Uuemad macOS-i versioonid nõuavad VPN-i konfiguratsioonide ja süsteemilaiendite kinnitamist jaotises Privaatsus ja turvalisus ning laiendus võib vajada enne tunneli käivitumist taaskäivitust. Apple kirjeldab käsitsi VPN-i seadistamise teed kui soovite seda teenusepakkuja rakendusega võrrelda.
Eemaldage dubleeritud definitsioonid, kui uus tööle hakkab. Vana kirje võrgusätetes ja rakenduse enda profiil võivad mõlemad osutada samale lõpp-punktile ning ühenduse looja ei ole alati see, mida arvate end muutnud olevat.
Testige teid, mida uus Mac tegelikult kasutab
Ühenduge ja veenduge, et tunnel kannab liiklust; seejärel kontrollige nimede lahendamist ja marsruutimist, mitte ärge usaldage menüüriba ikooni. macOS teavitab lahendajatest iga liidese kohta, seega peaks sisemine DNS-server ilmuma tunneli liidesel ja sisemised nimed peaksid lahenema selle kaudu. Mõlemad allolevad käsud ainult loevad olekut.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Peatuge, kui sisemine hostinimi laheneb avalikuks aadressiks või kui vaikemarsruut osutab endiselt füüsilisele liidesele, samal ajal kui disain eeldab täistunnelit. Mõlemad on märgid sellest, et profiil imporditi ilma oma marsruutideta või et teine konfiguratsioon selle üle kirjutab.
Korrake testi pärast und ja pärast teise võrku ühendamist.Ühendus, mis elab üle esimese sisselogimise, kuid mitte kaane sulgemise on migratsioon, mis igapäevases kasutuses ebaõnnestub, ja selle tabamine enne vana Maci kustutamist on kontrollloendi mõte.
Võtke vana Mac kasutusest välja ja tühistage see
Hoidke vana seadet ühendatud, kuni uus läbib ülaltoodud testid. Seejärel tühistage vana seade operaatori konsoolist või haldussüsteemist; rakenduse kustutamine vanast Macist ei tühista selle identiteeti ja kopeeritud profiil saab endiselt autentida.
Pärast tühistamist eemaldage profiilid, logige kontolt välja ja kustutage ketas, kui masin lahkub teie kontrolli alt. Kontrollige veel kord teenusepakkuja seadmete loendit, et kinnitada, et vana kirje on kadunud ja uus on õigesti märgistatud.
Kui üleviimise ajal kopeeriti ühine saladus või meeskonna volitusandmed, vahetage need kohe, selle asemel et oodata järgmist plaanilist muudatust. Migratsioon on lõppenud siis, kui vana identiteet on surnud, mitte siis, kui uus ikoon muutub roheliseks.