Zer dauka Mac VPN esportazio batek, eta zer uzten du atzean
Mac VPN esportazio batek ezarpenak eta batzuetan gako pribatu bat dakartza, baina ez giltza-sortaren pasahitza edo gailuaren erregistroa. Egiaztatu zati bakoitza lehenengo.
Egin klik Export botoian Mac VPN bezero batean, eta konexio bat deskribatzen duen fitxategia lortuko duzu, konexioa bera izan gabe. Zerbitzariaren helbidea, ataka, protokoloa eta sarritan ziurtagiriak barruan daude. Saio-hasierako pasahitza, gako pribatu baten pasaesaldia eta Mac zehatz hau baimenduko duen erregistroa normalean ez. Horregatik profil batek garbi inporta dezake, bezeroaren zerrendan ager daiteke eta, hala ere, lehen autentifikazio eskaeran huts egin; hutsunea formatuaren ezaugarria da, ez deskarga hondatua.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Zer dauka benetan esportatutako fitxategiak
Esportazio bat edukiontzi bat da, eta fitxategiaren luzapenak edukia baino gutxiago esaten du. OpenVPN profilak testua dira: direktibak, gehi aukerako inline blokeak <ca>, <cert> eta <key>. Tunnelblick ezarpenak konfigurazio eta ezarpenezko artxibo konprimatuak dira. Kudeatutako .mobileconfig bat karga erabilgarrien plist bat da. Bi zerrendak galderaren zatirik handiena erantzuten dute ezer inportatu aurretik.
Testu-profil batentzat, zenbatu daramatzan PEM blokeak: grep -c "PRIVATE KEY" your-profile.ovpn. Zerotik desberdina den emaitzak fitxategiak gako materiala duela esan nahi du, eta ordutik pasahitz bat bezala tratatu behar dela. Artxibo batentzat, zerrendatu deskonprimitu gabe: tar -tf export.tbz, edo unzip -l export.zip bezeroak zip bat sortu badu. Zerrenda horretako gako fitxategiak, ziurtagiri fitxategiak eta igotzeko edo jaisteko scriptak dira erabiltzaile-kontu bat berrargitaratzeak berriro sortuko ez dituen zatiak.
Aurkako kasuak beste adina balio du. Profilak gako bat fitxategi-izenaz adierazten duenean txertatu beharrean, esportazioa nahita dago osatugabe, eta falta den erdiak hura jaulki zuenarengandik etorri behar du. Fitxategi hori alboan kopiatzea ongi dago ziurtagiri-agintaritza zeurea denean; ez dago ongi fitxategia Mac zaharrean sortutako gailuari lotutako ziurtagiri batekin etorri bazen.
Zergatik ez den inoiz bidaiatzen giltza-sortaren erdiak
macOSek VPN pasahitzak eta gakoen pasaesaldiak saio-hasierako giltza-sortan gordetzen ditu, eta bezeroek han gordetzen dituzte, beren ezarpen-fitxategietan beharrean. Tunnelblickek hori dio bere esportazio eta inportazio gidan: ezarpen-artxiboak konfigurazioak eta ezarpenak dakartza eta giltza-sortan gordetako erabiltzaile-izenak, pasahitzak eta pasaesaldiak kanpoan uzten ditu. Baztertzea nahita egindakoa da. Giltza-sortako elementuak erabiltzaileko eta makinako babestuta daude, beraz kopiatutako elementuak ez du baliozko sarbide-kontrolik helmugan, eta horrek fitxategi alfer bat edo testu lauan dagoen sekretu bat uzten du.
Mugimendua planifikatu aurretik egiazta dezakezu non bizi den kredentziala. security find-internet-password -s vpn.example.com bat datozen elementu baten atributuak inprimatzen ditu eta zero ez den kodearekin amaitzen da bat ere ez dagoenean; komando berak -g rekin pasahitza agerrarazteko eskatuko luke, eta horregatik da hura gabe egindako kontsulta egiaztapen seguruena. Han emaitza bat egoteak profila ez dela pasahitza darama eta ezin dela horretara behartu esan nahi du. Gainera, pasahitza Mac berrian berriro eskatuko da, eta zaharrean emandako «Beti baimendu» baimenak ez du han ezer balio.
Sekretu guztiak ez dira giltza-sortako elementuak, ordea. Tunnelblick paketearen dokumentazioak ohartarazten du pakete batek gako, ziurtagiri eta script fitxategiak eduki ditzakeela. Beraz, esportazioak giltza-sortako sarrerak baztertzeak ez du esan nahi esportazioa postaz bidaltzeko segurua denik; trata ezazu artxiboa sentikor gisa, barruan zer dagoen zerrendatu arte.
Jatorrizko eta kudeatutako VPNek ez dute esportazio-biderik
Sistemaren Ezarpenen bidez konfiguratutako konexioek ez dute esportazio onarturik eskaintzen. scutil --nc list sistemak ezagutzen dituen zerbitzuak erakusten ditu, eta scutil --nc show "Work VPN" zerbitzu baten konfigurazioa inprimatzen du, haren zerbitzaria eta protokoloa irakurtzeko adina. Bat ere ez da migrazio-tresna. /Library/Preferences/SystemConfiguration/preferences.plist fitxategian gordetako zerbitzu-identifikatzaileak fitxategi horren barneko erreferentziak dira, beraz fitxategia kopiatzea eta identifikatzaileak berridaztea ez da onartutako transferentzia, eta helmugan zerikusia ez duten sare-zerbitzuak nahas ditzake.
Onartutako bidea Applek dokumentatzen duena da: instalatu administratzaileak emandako VPN ezarpen-fitxategi bat, edo sartu operadoreak ematen dizkizun ezarpenak. Konexioa kudeatuta dagoenean, eskatu fitxategi berri bat edo erregistro berri bat, elkarrizketa zahar baten pantaila-argazkitik berreraiki beharrean. MDMk bultzatutako profil baterako, ziurtagiriaren karga erabilgarriak identitatea eraman dezake gako pribatua gailuan sortzen den bitartean, eta kasu horretan profil zahar baten kopia akasgabeak ere ezin du Mac berria autentifikatu.
Egiaztatu berreskuratzea, zerrendari fidatu beharrean
Zerrendan dagoen profil bat eta funtzionatzen duen tunel bat bi egoera desberdin dira, eta horietako bat bakarrik da jakinarazteko modukoa. Inportatu eta konektatu ondoren, egiaztatu tuneleko interfazea existitzen dela, eta gero egiaztatu tunelak zer egiten duen.
ifconfig | grep -A3 utun tuneleko interfazea eta haren helbideak erakusten ditu. scutil --dns | grep nameserver konexioaren ondoren zein ebazle dauden aktibo erakusten du, eta hor bertan banatzen dira normalean split-DNS profilak. Gero iritsi benetan axola duen baliabidera: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Hirurak pasatzen badira, ezarpenak, DNSa eta bideak iritsi dira; bezeroan ikono berde batek ez du horietako ezer esan nahi bere horretan.
Bi hutsegite agertzen dira sarri inportazio baten ondoren, eta biei fitxategia leporatzen zaie. Izen publikoak ebaztea eta barnekoak ez, normalean esan nahi du profilaren DNS zerbitzariak galdu zirela edo split-DNS ez zela mantendu. Altxatzen den eta trafikorik pasatzen ez duen tunel batek normalean esan nahi du bideak edo zerbitzari aldeko baimena ez zirela profilari jarraitu. Artxibo bera berriro inportatzeak biak erreproduzitzen ditu.
Mac zaharra erretiratu aurretik
Esportazioa ezabatzea ez da baliogabetzea. Gailu zaharra ziurtagiri batekin autentifikatu bazen, zerbitzariak ziurtagiri horretan fidatzen jarraitzen du baliogabetu edo berrargitaratu arte. Kontu partekatu batekin autentifikatu bazen, kontu horretako saioak bizirik egon daitezke oraindik. Egin zerbitzari aldeko urratsa hardwarea oraindik zure aurrean dagoela.
Gorde profil berria zure gainerako kredentzialekin, gako bat daukanenean, eta idatzi pasahitza bezeroan, giltza-sorta berrian amaitu dadin fitxategi batean beharrean. Azken egiaztapena: konektatu ordezko gailutik Mac zaharra itzalita dagoela. Jatorrizko makina sarean dagoen bitartean bakarrik funtzionatzen duen eskualdaketa ez zen inoiz osoa izan.