Mitä Macin VPN-vienti sisältää ja mitä se jättää taakseen
Macin VPN-vienti sisältää asetukset ja joskus yksityisen avaimen, mutta ei avainnipun salasanaa tai laitteen rekisteröintiä. Tarkista jokainen osa ensin.
Napsauta Export Macin VPN-asiakkaassa, ja saat tiedoston, joka kuvaa yhteyden olematta itse yhteys. Palvelimen osoite, portti, protokolla ja usein varmenteet ovat sen sisällä. Kirjautumissalasana, yksityisen avaimen salalause ja juuri tämän Macin valtuuttava rekisteröinti eivät yleensä ole. Siksi profiili voi tuontua puhtaasti, ilmestyä asiakkaan luetteloon ja epäonnistua silti ensimmäisessä todennuspyynnössä; aukko on formaatin ominaisuus, ei vioittunut lataus.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Mitä viety tiedosto todella sisältää
Vienti on säilö, ja tiedostopääte kertoo sisältöä vähemmän. OpenVPN-profiilit ovat tekstiä: direktiivit sekä valinnaiset sisäkkäiset lohkot <ca>, <cert> ja <key>. Tunnelblickin asetukset ovat pakattuja arkistoja kokoonpanoista ja asetuksista. Hallinnoitu .mobileconfig on hyötykuormien plist. Kaksi luetteloa vastaa suurimpaan osaan kysymyksestä ennen kuin tuot mitään.
Tekstiprofiilista lasketaan sen kantamat PEM-lohkot: grep -c "PRIVATE KEY" your-profile.ovpn. Nollasta poikkeava tulos tarkoittaa, että tiedosto sisältää avainmateriaalia ja sitä on kohdeltava salasanana siitä hetkestä lähtien. Arkistosta se luetellaan purkamatta: tar -tf export.tbz, tai unzip -l export.zip, jos asiakas tuotti zipin. Kyseisen luettelon avaintiedostot, varmenteet ja ylös- tai alasajoskriptit ovat osia, joita käyttäjätilin uudelleen myöntäminen ei luo uudelleen.
Vastakkainen tapaus on yhtä tärkeä. Kun profiili viittaa avaimeen tiedostonimellä sen upottamisen sijaan, vienti on tarkoituksella puutteellinen ja puuttuvan puoliskon on tultava siltä, joka sen myönsi. Sen tiedoston kopioiminen viereen on kunnossa, kun omistat varmentajan; se ei ole kunnossa, kun tiedosto tuli laitteeseen sidotun varmenteen kanssa, joka luotiin vanhalla Macilla.
Miksi avainnipun puolisko ei koskaan matkusta
macOS pitää VPN-salasanat ja avainten salalauseet kirjautumisen avainnipussa, ja asiakkaat tallentavat ne sinne omien asetustiedostojensa sijaan. Tunnelblick sanoo sen viennin ja tuonnin oppaassaan: asetusarkisto kantaa kokoonpanot ja asetukset ja jättää pois avainnipussa pidetyt käyttäjänimet, salasanat ja salalauseet. Poisjättö on tahallinen. Avainnipun kohteet on suojattu käyttäjä- ja laitekohtaisesti, joten kopioidulla kohteella ei ole kelvollista käyttöoikeuden valvontaa kohteessa, mikä jättää jäljelle joko hyödyttömän tiedoston tai salaisuuden selkokielisenä.
Voit vahvistaa, missä tunnistetieto asuu, ennen kuin suunnittelet siirtoa. security find-internet-password -s vpn.example.com tulostaa vastaavan kohteen attribuutit ja päättyy nollasta poikkeavaan koodiin, kun sellaista ei ole; sama komento -g kanssa pyytäisi paljastamaan salasanan, minkä vuoksi kysely ilman sitä on turvallisempi tarkistus. Osuma siellä tarkoittaa, että profiili ei kanna salasanaa eikä sitä voi pakottaa siihen. Se tarkoittaa myös, että salasana kysytään uudelleen uudella Macilla, eikä vanhalla annettu «Salli aina» -lupa merkitse siellä mitään.
Jokainen salaisuus ei kuitenkaan ole avainnipun kohde. Tunnelblickin oma pakettidokumentaatio huomauttaa, että paketti voi sisältää avain-, varmenne- ja skriptitiedostoja. Joten se, että vienti jättää avainnipun merkinnät pois, ei ole sama väite kuin että vienti on turvallista lähettää sähköpostilla; kohtele arkistoa arkaluonteisena, kunnes olet luetellut, mitä siinä on.
Natiiveilla ja hallinnoiduilla VPN:illä ei ole vientipolkua
Järjestelmäasetusten kautta määritetyt yhteydet eivät tarjoa tuettua vientiä. scutil --nc list näyttää palvelut, jotka järjestelmä tuntee, ja scutil --nc show "Work VPN" tulostaa yhden palvelun kokoonpanon, tarpeeksi sen palvelimen ja protokollan lukemiseen. Kumpikaan ei ole siirtotyökalu. Kohtaan /Library/Preferences/SystemConfiguration/preferences.plist tallennetut palvelutunnisteet ovat viittauksia kyseiseen tiedostoon, joten tiedoston kopioiminen ja tunnisteiden uudelleenkirjoittaminen ei ole tuettu siirto ja voi häiritä muita verkkopalveluita kohteessa.
Tuettu polku on se, jonka Apple dokumentoi: asenna järjestelmänvalvojan toimittama VPN-asetustiedosto tai syötä asetukset, jotka operaattori antaa sinulle. Kun yhteys on hallinnoitu, pyydä tuore tiedosto tai tuore rekisteröinti sen sijaan, että rakentaisit sen uudelleen vanhan valintaikkunan kuvakaappauksesta. MDM:n työntämälle profiilille varmenteen hyötykuorma voi kantaa identiteetin, kun taas yksityinen avain luodaan laitteessa, ja siinä tapauksessa edes virheetön kopio vanhasta profiilista ei voi todentaa uutta Macia.
Tarkista palautus sen sijaan, että luottaisit luetteloon
Luettelossa oleva profiili ja toimiva tunneli ovat kaksi eri tilaa, ja vain toinen niistä on raportoinnin arvoinen. Tuonnin ja yhteyden jälkeen tarkista, että tunnelin liitäntä on olemassa, ja tarkista sitten, mitä tunneli tekee.
ifconfig | grep -A3 utun näyttää tunnelin liitännän ja sen osoitteet. scutil --dns | grep nameserver näyttää, mitkä ratkaisijat ovat aktiivisia yhteyden jälkeen, ja juuri siinä split-DNS-profiilit yleensä eroavat. Saavuta sitten resurssi, jolla on oikeasti väliä: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Jos kaikki kolme menevät läpi, asetukset, DNS ja reitit saapuivat; vihreä kuvake asiakkaassa ei yksinään tarkoita mitään niistä.
Kaksi vikaa ilmaantuu usein tuonnin jälkeen, ja molemmista syytetään tiedostoa. Julkisten nimien ratkeaminen sisäisten ratkeamatta tarkoittaa yleensä, että profiilin DNS-palvelimet pudotettiin tai split-DNS ei säilynyt. Tunneli, joka nousee eikä päästä liikennettä läpi, tarkoittaa yleensä, että reitit tai palvelinpuolen valtuutus eivät seuranneet profiilia. Saman arkiston uudelleentuonti toistaa molemmat.
Ennen kuin poistat vanhan Macin käytöstä
Viennin poistaminen ei ole peruutus. Jos vanha laite todennettiin varmenteella, palvelin luottaa siihen varmenteeseen edelleen, kunnes se peruutetaan tai myönnetään uudelleen. Jos se todennettiin jaetulla tilillä, kyseisen tilin istunnot voivat olla yhä elossa. Tee palvelinpuolen vaihe, kun laitteisto on vielä edessäsi.
Säilytä uusi profiili muiden tunnistetietojesi kanssa, kun se sisältää avaimen, ja kirjoita salasana asiakkaaseen, jotta se päätyy uuteen avainnippuun eikä tiedostoon. Viimeinen tarkistus: yhdistä korvaavasta laitteesta, kun vanha Mac on sammutettu. Siirto, joka toimii vain lähdekoneen ollessa verkossa, ei ollut koskaan täydellinen.