Mida Maci VPN-i eksport sisaldab ja mida see endast maha jätab
Maci VPN-i eksport kannab seadeid ja mõnikord privaatvõtit, aga mitte võtmehoidla parooli ega seadme registreerimist. Kontrollige esmalt iga osa.
Klõpsake Maci VPN-kliendis Export ja saate faili, mis kirjeldab ühendust, olemata ise ühendus. Serveri aadress, port, protokoll ja sageli ka sertifikaadid on selle sees. Sisselogimise parool, privaatvõtme paroolifraas ja just seda Maci volitav registreerimine tavaliselt ei ole. Seetõttu võib profiil puhtalt importida, kliendi loendis ilmuda ja siiski esimesel autentimispäringul ebaõnnestuda; lünk on vormingu omadus, mitte rikutud allalaadimine.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Mida eksporditud fail tegelikult sisaldab
Eksport on konteiner ja faililaiend ütleb sisust vähem. OpenVPN-i profiilid on tekst: direktiivid pluss valikulised manustatud plokid <ca>, <cert> ja <key>. Tunnelblicki seadistused on konfiguratsioonide ja seadete pakitud arhiivid. Hallatav .mobileconfig on koormiste plist. Kaks loendit vastavad suuremale osale küsimusest enne, kui midagi impordite.
Tekstiprofiili puhul loendage PEM-plokid, mida see kannab: grep -c "PRIVATE KEY" your-profile.ovpn. Nullist erinev tulemus tähendab, et fail sisaldab võtmematerjali ja seda tuleb sellest hetkest käsitleda paroolina. Arhiivi puhul loetlege see ilma lahti pakkimata: tar -tf export.tbz, või unzip -l export.zip, kui klient lõi zip-faili. Selle loendi võtmefailid, sertifikaadifailid ja üles- või allalaadimise skriptid on osad, mida kasutajakonto uuesti väljastamine ei loo uuesti.
Vastupidine juhtum on sama oluline. Kui profiil viitab võtmele failinime järgi, selle asemel et seda manustada, on eksport sihilikult puudulik ja puuduv pool peab tulema sellelt, kes selle väljastas. Selle faili kõrvale kopeerimine on korras, kui teile kuulub sertifitseerimisasutus; see ei ole korras, kui fail tuli vanal Macil loodud seadmega seotud sertifikaadiga.
Miks võtmehoidla pool kunagi ei reisi
macOS hoiab VPN-i paroole ja võtmeparoolifraase sisselogimise võtmehoidlas ning kliendid salvestavad need sinna, mitte oma seadefailidesse. Tunnelblick ütleb seda oma ekspordi- ja impordijuhendis: seadistusarhiiv kannab konfiguratsioone ja seadeid ning jätab välja võtmehoidlas hoitavad kasutajanimed, paroolid ja paroolifraasid. Väljajätmine on tahtlik. Võtmehoidla üksused on kaitstud iga kasutaja ja iga masina kaupa, nii et kopeeritud üksusel pole sihtkohas kehtivat juurdepääsukontrolli, mis jätab alles kas kasutu faili või salajase teksti.
Saate enne siirdamise kavandamist kinnitada, kus volitus elab. security find-internet-password -s vpn.example.com prindib sobiva üksuse atribuudid ja lõpeb nullist erineva koodiga, kui ühtegi pole; sama käsk -g-ga küsiks parooli avalikustamist, mistõttu on ilma selleta päring turvalisem kontroll. Seal tabamus tähendab, et profiil ei kanna parooli ja seda ei saa selleks sundida. See tähendab ka, et parooli küsitakse uuel Macil uuesti, ja vanal antud luba «Luba alati» ei loe seal midagi.
Kuid mitte iga saladus pole võtmehoidla üksus. Tunnelblicki enda paketi dokumentatsioon märgib, et pakk võib sisaldada võtme-, sertifikaadi- ja skriptifaile. Seega see, et eksport jätab võtmehoidla kirjed välja, pole sama väide kui see, et eksport on e-postiga saatmiseks ohutu; käsitlege arhiivi tundlikuna, kuni olete loetlenud, mis selles on.
Native- ja hallatavatel VPN-idel pole eksporditeed
Süsteemisätete kaudu konfigureeritud ühendused ei paku toetatud eksporti. scutil --nc list näitab teenuseid, mida süsteem teab, ja scutil --nc show "Work VPN" prindib ühe teenuse konfiguratsiooni, millest piisab selle serveri ja protokolli lugemiseks. Kumbki pole migreerimisvahend. /Library/Preferences/SystemConfiguration/preferences.plist-sse salvestatud teenuseidentifikaatorid on viited sellesse faili, nii et faili kopeerimine ja identifikaatorite ümberkirjutamine pole toetatud ülekanne ja võib sihtkohas häirida mitteseotud võrguteenuseid.
Toetatud tee on see, mida Apple dokumenteerib: installige administraatori antud VPN-i seadefail või sisestage seaded, mille operaator teile annab. Kui ühendus on hallatav, küsige värske faili või värske registreerimise, selle asemel et seda vana dialoogi ekraanipildilt uuesti üles ehitada. MDM-i poolt lükatud profiili puhul võib sertifikaadi koorem kanda identiteeti, samal ajal kui privaatvõti luuakse seadmes, ja sel juhul ei suuda isegi veatu koopia vanast profiilist uut Maci autentida.
Kontrollige taastamist, selle asemel et loendit usaldada
Profiil loendis ja töötav tunnel on kaks erinevat olekut ning ainult ühte neist tasub raporteerida. Pärast importimist ja ühendamist kontrollige, kas tunneli liides on olemas, seejärel kontrollige, mida tunnel teeb.
ifconfig | grep -A3 utun näitab tunneli liidest ja selle aadresse. scutil --dns | grep nameserver näitab, millised resolverid on pärast ühendust aktiivsed, ja just seal lahknevad split-DNS-i profiilid tavaliselt. Seejärel jõudke ressursini, mis tegelikult loeb: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Kui kõik kolm läbivad, on seaded, DNS ja marsruudid kohale jõudnud; roheline ikoon kliendis ei tähenda iseenesest midagi sellest.
Kaks tõrget ilmnevad pärast importi sageli ja mõlemat süüdistatakse failis. See, et avalikud nimed lahenevad, aga sisemised mitte, tähendab tavaliselt, et profiili DNS-serverid jäid välja või split-DNS ei säilinud. Tunnel, mis tõuseb ja ei lase liiklust läbi, tähendab tavaliselt, et marsruudid või serveripoolne volitus ei järgnenud profiilile. Sama arhiivi uuesti importimine taastoodab mõlemad.
Enne kui vana Maci pensionile saadate
Ekspordi kustutamine pole tühistamine. Kui vana seade autentis sertifikaadiga, usaldab server seda sertifikaati endiselt, kuni see tühistatakse või uuesti väljastatakse. Kui see autentis jagatud kontoga, võivad selle konto sessioonid veel elus olla. Tehke serveripoolne samm, kui riistvara on veel teie ees.
Hoidke uut profiili koos teiste volitustega, kui see sisaldab võtit, ja tippige parool kliendisse, et see jõuaks uude võtmehoidlasse, mitte faili. Viimane kontroll: ühenduge asendajast, kui vana Mac on välja lülitatud. Üleandmine, mis töötab ainult siis, kui lähtemasin on võrgus, pole kunagi olnud täielik.