انتقال دسترسی VPN به یک Mac جدید: اول چه چیزی را ثبت کنیم
نام اتصال کپی‌شده هویت منتقل‌شده نیست. کلاینت، منبع پروفایل و مسیر مجوزدهی را ثبت کنید، سپس Mac جدید را آماده و آزمایش کنید.
مهاجرت بی‌صدا شکست می‌خورد: اتصال در نوار منو ظاهر می‌شود، پروفایل وارد می‌شود و احراز هویت باز هم شکست می‌خورد چون Mac جدید دستگاه مجاز نیست. Mac قدیمی به کار خود ادامه می‌دهد و همین، به تعویق انداختن خطا را تا زمانی که دستگاه قدیمی از میان برود آسان می‌کند. یک فهرست کوتاه پیش از جابه‌جایی بیشتر آن را جلوگیری می‌کند. آنچه دسترسی به آن وابسته است را بنویسید تا زمانی که هنوز می‌توانید آن را از دستگاه سالم بخوانید.
دسترسی را فهرست کنید تا زمانی که Mac قدیمی هنوز وصل می‌شود
با کلاینت و پروتکل شروع کنید، نه با نام اتصال. نام برچسبی است که پروفایل قدیمی انتخاب کرده؛ نسخه کلاینت، پروتکل و نقطه پایانی چیزی است که دستگاه جدید باید بازتولید کند. نام میزبان دقیق نقطه پایانی را هم ثبت کنید، چون مهاجرت ارائه‌دهنده می‌تواند آن را بدون تغییر برچسب جابه‌جا کند.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
ورودی هویت سنگین‌ترین است. نام کاربری و کد یک‌بارمصرف را می‌توان روی Mac جدید وارد کرد، گواهی با کلید قابل صدور را گاهی می‌توان وارد کرد، و گواهی وابسته به دستگاه با کلید غیرقابل صدور را به‌هیچ‌وجه نمی‌توان منتقل کرد. پیش از برنامه‌ریزی جابه‌جایی ثبت کنید کدام حالت را دارید. اگر دو مورد از این پاسخ‌ها ناهمخوان باشند، پیش از کپی کردن هر چیزی ناهمخوانی را حل کنید.
در پایان رفتار شبکه مورد انتظار را ثبت کنید: تونل کامل یا تونل تقسیم‌شده، کدام نام‌های داخلی باید حل شوند و آیا IPv6 درون تونل انتظار می‌رود. از این‌ها آزمون‌هایی ساخته می‌شود که تعیین می‌کند مهاجرت موفق بوده یا نه.
آنچه را می‌توان کپی کرد از آنچه باید دوباره صادر شود جدا کنید
پروفایل‌های سطح کاربر، نشانی‌های سرور و ترجیحات معمولاً قابل انتقال‌اند. کلیدهای خصوصی، گواهی‌های دستگاه و توکن‌های ثبت چنین نیستند، چون ارزششان به وابستگی به یک دستگاه بسته است. آن‌ها را اقلام نیازمند صدور مجدد بدانید و مسیر پشتیبانی‌شده را از مالک بپرسید. هر چیز دیگری قابل کپی است. فرایند مالک تعیین می‌کند، نه جادوگر مهاجرت.
اگر هویت به دستگاه وابسته است و مسیری برای صدور مجدد وجود ندارد، اینجا بایستید. ادامه با کلید کپی‌شده یا در احراز هویت شکست می‌خورد یا، بدتر، همان اعتبارنامه را روی دو دستگاه فعال می‌گذارد بدون هیچ ثبت از دومی.
در طول انتقال کلید خصوصی یا کد بازیابی را در یادداشت یا پیام گفتگو رها نکنید. از زنجیره کلید، مدیر رمز عبور یا فرایند امانت سازمان استفاده کنید و احرازگر را به‌جای کپی کردن دانه‌اش دوباره ثبت کنید. یادداشت مهاجرتی که اعتبارنامه دارد، نسخه دوم آن اعتبارنامه می‌شود.
Mac جدید را از مسیر پشتیبانی‌شده آماده کنید
اگر Mac مدیریت‌شده است، پیش از افزودن پیکربندی دستی آن را در همان سامانه مدیریت ثبت کنید. سامانه مدیریت مالک پروفایل تحمیلی است و پروفایل واردشده با دست روی آن دو منبع حقیقت می‌سازد که پس از تغییر سیاست بعدی ناهمخوان می‌شوند.
روی Mac مدیریت‌نشده، کلاینت را از دانلود به‌روز ارائه‌دهنده نصب کنید و پروفایل را با روشی که ارائه‌دهنده مستند می‌کند وارد کنید. نسخه‌های اخیر macOS برای پیکربندی‌های VPN و افزونه‌های سیستم در حریم خصوصی و امنیت تأیید می‌خواهند و افزونه ممکن است پیش از آغاز تونل به راه‌اندازی مجدد نیاز داشته باشد. Apple مسیر راه‌اندازی دستی VPN را مستند می‌کند اگر بخواهید آن را با برنامه ارائه‌دهنده مقایسه کنید.
پس از کار کردن نسخه جدید، تعریف‌های تکراری را بردارید. ورودی کهنه در تنظیمات شبکه و پروفایل خود برنامه می‌توانند هر دو به یک نقطه پایانی اشاره کنند و همیشه آن چیزی که وصل می‌شود همان نیست که فکر می‌کنید ویرایش کرده‌اید.
مسیرهایی را آزمایش کنید که Mac جدید واقعاً استفاده می‌کند
وصل شوید و تأیید کنید تونل ترافیک را حمل می‌کند؛ سپس تفکیک نام و مسیریابی را بررسی کنید، نه اینکه به نماد نوار منو اعتماد کنید. macOS برای هر رابط درباره حل‌کننده‌ها گزارش می‌دهد، پس سرور DNS داخلی باید روی رابط تونل ظاهر شود و نام‌های داخلی باید از طریق آن حل شوند. هر دو فرمان زیر فقط وضعیت را می‌خوانند.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20اگر نام میزبان داخلی به نشانی عمومی حل شد یا مسیر پیش‌فرض هنوز به رابط فیزیکی اشاره کرد در حالی که طرح تونل کامل را انتظار دارد، بایستید. هر دو نشانه آن است که پروفایل بدون مسیرهایش وارد شده یا پیکربندی دیگری آن را زیر پا می‌گذارد.
آزمون را پس از خواب و پس از اتصال به شبکه‌ای دیگر تکرار کنید.اتصالی که نخستین ورود را تحمل می‌کند اما بسته شدن درپوش را نه مهاجرتی است که در استفاده روزمره شکست می‌خورد و همین را پیش از پاک شدن Mac قدیمی گرفتن، هدف چک‌لیست است.
Mac قدیمی را از کار بیندازید و لغو کنید
دستگاه قدیمی را تا زمانی که دستگاه جدید آزمون‌های بالا را بگذراند وصل نگه دارید. سپس دستگاه قدیمی را از کنسول اپراتور یا سامانه مدیریت لغو کنید؛ حذف برنامه از Mac قدیمی هویت آن را لغو نمی‌کند و پروفایل کپی‌شده هنوز می‌تواند احراز هویت کند.
پس از لغو، پروفایل‌ها را بردارید، از حساب خارج شوید و اگر دستگاه از کنترل شما خارج می‌شود دیسک را پاک کنید. یک بار دیگر فهرست دستگاه‌های ارائه‌دهنده را بررسی کنید تا تأیید شود ورودی قدیمی رفته و ورودی جدید درست برچسب خورده است.
اگر در طول انتقال یک راز مشترک یا اعتبارنامه تیمی کپی شده است، همین حالا آن را بچرخانید نه اینکه منتظر تغییر زمان‌بندی‌شده بعدی بمانید. مهاجرت وقتی تمام است که هویت قدیمی مرده باشد، نه وقتی نماد جدید سبز می‌شود.