VPN-yhteyden siirtäminen uuteen Maciin: mitä kirjata ensin
Kopioitu yhteyden nimi ei ole siirretty identiteetti. Kirjaa asiakasohjelma, profiilin lähde ja valtuutuspolku, sitten valmistele ja testaa uusi Mac.
Siirto epäonnistuu hiljaisesti: yhteys näkyy valikkorivillä, profiili tuodaan ja todennus epäonnistuu silti, koska uusi Mac ei ole valtuutettu laite. Vanha Mac toimii edelleen, joten vian voi helposti lykätä siihen asti, kun vanhaa konetta ei enää ole. Lyhyt kartoitus ennen vaihtoa estää suurimman osan. Kirjoita ylös, mistä pääsy riippuu, kun voit vielä lukea sen toimivasta koneesta.
Kartoita pääsy, kun vanha Mac vielä yhdistää
Aloita asiakasohjelmasta ja protokollasta, älä yhteyden nimestä. Nimi on vanhan profiilin valitsema tunniste; asiakasohjelman versio, protokolla ja päätepiste ovat ne, jotka uuden koneen on toistettava. Kirjaa myös päätepisteen tarkka isäntänimi, koska palveluntarjoajan siirto voi siirtää sen muuttamatta tunnistetta.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Identiteettitietue painaa eniten. Käyttäjänimi ja kertakäyttökoodi voidaan syöttää uudelle Macille, vientikelpoisen avaimen sertifikaatti voidaan joskus tuoda, eikä laitteeseen sidottua sertifikaattia, jonka avain ei ole vientikelpoinen, voi siirtää lainkaan. Kirjaa, mikä näistä tapauksista sinulla on, ennen kuin suunnittelet siirtymää. Jos kaksi näistä vastauksista on ristiriidassa, ratkaise ristiriita ennen kuin kopioit mitään.
Kirjaa lopuksi odotettu verkkokäyttäytyminen: täystunneli vai jaettu tunneli, mitkä sisäiset nimet on ratkaistava ja odotetaanko tunnelin sisällä IPv6:ta. Näistä tulee testit, jotka ratkaisevat, onnistuiko siirto.
Erottele se, mitä voi kopioida, siitä, mikä on myönnettävä uudelleen
Käyttäjätason profiilit, palvelinosoitteet ja asetukset ovat yleensä siirrettäviä. Yksityiset avaimet, laitesertifikaatit ja rekisteröintitunnukset eivät ole, koska niiden arvo riippuu sidonnaisuudesta yhteen koneeseen. Käsittele niitä uudelleen myönnettävinä kohteina ja kysy omistajalta tuettu polku. Kaiken muun voi kopioida. Kategoriasta päättää omistajan prosessi, ei siirtovelho.
Pysähdy tähän, jos identiteetti on sidottu laitteeseen eikä uudelleenmyöntöpolkua ole. Kopioidulla avaimella jatkaminen joko epäonnistuu todennuksessa tai, pahempaa, jättää samat tunnistetiedot aktiivisiksi kahdelle koneelle ilman mitään merkintää toisesta.
Älä jätä yksityistä avainta tai palautuskoodia muistiinpitoon tai chat-viestiin siirron aikana. Käytä avainnippua, salasananhallintaa tai organisaation escrow-prosessia ja rekisteröi todennuslaite uudelleen sen sijaan, että kopioisit sen siemenen. Tunnistetiedot sisältävä siirtomuistiinpano muuttuu näiden tietojen toiseksi kopioksi.
Valmistele uusi Mac tuettua polkua pitkin
Jos Mac on hallittu, rekisteröi se samaan hallintajärjestelmään ennen manuaalisen kokoonpanon lisäämistä. Hallintajärjestelmä omistaa pakotetun profiilin, ja käsin tuotu profiili sen päälle luo kaksi totuuden lähdettä, jotka erkanevat seuraavan käytäntömuutoksen jälkeen.
Hallitsemattomassa Macissa asenna asiakasohjelma palveluntarjoajan nykyisestä latauksesta ja tuo profiili menetelmällä, jonka palveluntarjoaja dokumentoi. Uudet macOS-versiot vaativat VPN-kokoonpanojen ja järjestelmälaajennusten hyväksynnän Tietosuoja ja turvallisuus -osiossa, ja laajennus voi vaatia uudelleenkäynnistyksen ennen kuin tunneli käynnistyy. Apple kuvaa manuaalisen VPN:n määrityspolun jos haluat verrata sitä palveluntarjoajan sovellukseen.
Poista päällekkäiset määritykset, kun uusi toimii. Vanhentunut merkintä verkkosasetuksissa ja sovelluksen oma profiili voivat molemmat osoittaa samaan päätepisteeseen, eikä yhdistyvä ole aina se, jonka luulet muokanneesi.
Testaa polut, joita uusi Mac todella käyttää
Yhdistä ja varmista, että tunneli kuljettaa liikennettä; tarkista sitten nimien ratkaisu ja reititys sen sijaan, että luottaisit valikkorivin kuvakkeeseen. macOS ilmoittaa ratkaisijoista liitäntäkohtaisesti, joten sisäisen DNS-palvelimen pitäisi näkyä tunnelin liitännällä ja sisäisten nimien pitäisi ratketa sen kautta. Molemmat alla olevat komennot vain lukevat tilaa.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Pysähdy, jos sisäinen isäntänimi ratkeaa julkiseksi osoitteeksi tai jos oletusreitti osoittaa edelleen fyysiseen liitäntään, kun suunnittelu olettaa täystunnelia. Molemmat ovat merkkejä siitä, että profiili tuotiin ilman reittejään tai että toinen kokoonpano ohittaa sen.
Toista testi unen jälkeen ja toiseen verkkoon liittymisen jälkeen.Yhteys, joka kestää ensimmäisen kirjautumisen mutta ei kannen sulkemista on siirto, joka epäonnistuu jokapäiväisessä käytössä, ja sen kiinni saaminen ennen vanhan Macin pyyhkimistä on tarkistuslistan tarkoitus.
Poista vanha Mac käytöstä ja peruuta se
Pidä vanha laite yhdistettynä, kunnes uusi läpäisee yllä olevat testit. Peruuta sitten vanha laite operaattorin konsolista tai hallintajärjestelmästä; sovelluksen poistaminen vanhalta Macilta ei peruuta sen identiteettiä, ja kopioitu profiili voi yhä todenneta.
Poista peruutuksen jälkeen profiilit, kirjaudu ulos tililtä ja pyyhi levy, jos kone poistuu hallinnastasi. Tarkista palveluntarjoajan laiteluettelo vielä kerran varmistaaksesi, että vanha merkintä on poissa ja uusi on merkitty oikein.
Jos siirron aikana kopioitiin jaettu salaisuus tai tiimin tunnistetiedot, vaihda ne nyt sen sijaan, että odotat seuraavaa suunniteltua muutosta. Siirto on valmis, kun vanha identiteetti on kuollut, ei silloin, kun uusi kuvake muuttuu vihreäksi.