Wat in Mac-VPN-eksport befettet, en wat it efterlit
In Mac-VPN-eksport draacht ynstellings en soms in partikuliere kaai, mar net it keychain-wachtwurd of de apparaatregistraasje. Kontrolearje elk diel earst.
Klik op Export yn in Mac-VPN-klant en jo krije in bestân dat in ferbining beskriuwt sûnder der ien te wêzen. Serveradres, poarte, protokol en faak de sertifikaten sitte deryn. It oanmeldwachtwurd, de wachtwurdsin fan in partikuliere kaai en de registraasje dy't krekt dizze Mac machtiget, meastal net. Dêrom kin in profyl skjin ymportearje, yn 'e klantlist ferskine en dochs by it earste autentikaasjeferfang mislearje; de gat is in eigenskip fan it formaat, net in skansearre download.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Wat it eksportearre bestân eins befettet
In eksport is in container, en de bestânsextinsje fertelt minder as de ynhâld. OpenVPN-profylen binne tekst: rjochtlinen, plus opsjonele ynline-<ca>, <cert> en <key>-blokken. Tunnelblick-ynstellings binne komprimearre argiven fan konfiguraasjes en ynstellings. In beheard .mobileconfig is in plist fan ladingen. Twa listen beantwurdzje it measte fan 'e fraach foardat jo eat ymportearje.
Foar in tekstprofyl, tel de PEM-blokken dy't it draacht: grep -c "PRIVATE KEY" your-profile.ovpn. In net-nul resultaat betsjut dat it bestân kaaimateriaal befettet en fan dat punt ôf as wachtwurd behannele wurde moat. Foar in argyf, list it op sûnder it út te pakken: tar -tf export.tbz, of unzip -l export.zip as de klant in zip makke hat. Kaai-bestânnen, sertifikaatbestânnen en op- of del-skripts yn dy list binne de dielen dy't in opnij útjûn brûkersaccount net opnij meitsje sil.
It tsjinoerstelde gefal jildt likefolle. Wannear't it profyl nei in kaai wiist by bestânsnamme ynstee fan dy yn te bedzjen, is de eksport mei opsetsin ûnfolslein en moat de ûntbrekkende helte komme fan wa't it útjûn hat. Dat bestân derneist kopiearje is goed as jo de sertifikaatautoriteit besitte; it is net goed as it bestân kaam mei in apparaatbûn sertifikaat dat op 'e âlde Mac oanmakke waard.
Wêrom't de keychain-helte nea meireizget
macOS bewarret VPN-wachtwurden en kaaiwachtwurdsinnen yn 'e oanmeld-keychain, en klanten bewarje se dêr ynstee fan yn har eigen ynstellingsbestânnen. Tunnelblick seit dat yn syn eksport- en ymportgids: it ynstellingsargyf draacht konfiguraasjes en ynstellings en lit de brûkersnammen, wachtwurden en wachtwurdsinnen dy't yn 'e keychain bewarre wurde, weilitten. It weilitten is mei opsetsin. Keychain-items wurde per brûker en per masine beskerme, sadat in kopiearre item gjin jildige tagongskontrôle op 'e bestimming hat, wat of in nutteleas bestân of in geheim yn platte tekst efterlit.
Jo kinne befêstigje wêr't it bewiis libbet foardat jo de ferhuzing plenje. security find-internet-password -s vpn.example.com printsje attributen foar in passend item en einiget mei in net-nul koade as der gjinien is; deselde opdracht mei -g soe freegje om it wachtwurd te iepenbierjen, dêrom is de fraach sûnder dat de feiliger kontrôle. In treffer dêr betsjut dat it profyl it wachtwurd net draacht en net twongen wurde kin om dat te dwaan. It betsjut ek dat it wachtwurd wer frege wurde sil op 'e nije Mac, en in «Altiten tastean»-tastimming op 'e âlde jildt dêr neat.
Net elk geheim is lykwols in keychain-item. Tunnelblick syn eigen pakketdokumintaasje merkt op dat in pakket kaai-, sertifikaat- en skriptbestânnen befetsje kin. Dat de eksport keychain-ynfieringen útslút is dus net deselde bewearing as dat de eksport feilich is om te e-postjen; behannelje it argyf as gefoelich oant jo oplate hawwe wat deryn sit.
Native en beheard VPN hawwe gjin eksportpaad
Ferbiningen konfigurearre fia Systeemynstellings biede gjin stipe eksport. scutil --nc list toant de tsjinsten dy't it systeem ken, en scutil --nc show "Work VPN" printsjet de konfiguraasje fan ien tsjinst, genôch om de server en it protokol te lêzen. Gjin fan beide is in migraasje-ark. De tsjinst-identifiers dy't yn /Library/Preferences/SystemConfiguration/preferences.plist bewarre wurde, binne ferwizings yn dat bestân, dat it bestân kopiearje en identifiers oerskriuwe is gjin stipe oerdracht en kin net-relatearre netwurktsjinsten op 'e bestimming fersteure.
It stipe paad is dat wat Apple dokumintearret: ynstallearje in VPN-ynstellingsbestân fan in behearder, of fierta de ynstellings yn dy't de operator jo jout. Wannear't de ferbining beheard wurdt, freegje om in farsk bestân of in farske registraasje ynstee fan it wer op te bouwen út in skermprint fan 'e âlde dialooch. Foar in profyl dat troch MDM skood wurdt, kin de sertifikaatlading de identiteit drage wylst de partikuliere kaai op it apparaat oanmakke wurdt, en yn dat gefal kin sels in flaterfrij kopy fan it âlde profyl de nije Mac net autentisearje.
Ferifiearje it werstel ynstee fan de list te fertrouwen
In profyl yn 'e list en in wurkjende tunnel binne twa ferskillende steaten, en mar ien fan beide is it rapportearjen wurdich. Nei it ymportearjen en ferbinen, kontrolearje dat it tunnel-ynterface bestiet, en kontrolearje dan wat de tunnel docht.
ifconfig | grep -A3 utun toant it tunnel-ynterface en syn adressen. scutil --dns | grep nameserver toant hokker resolvers nei de ferbining aktyf binne, en dêr rinne split-DNS-profylen meastal útinoar. Berik dan de boarne dy't wier fan belang is: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. As alle trije slagje, binne ynstellings, DNS en rûtes oankommen; in grien ikoantsje yn 'e klant betsjut dêrfan neat op himsels.
Twa mislearrings komme faak foar nei in ymport en beide wurde it bestân ferwiten. Publike nammen dy't oplosse wylst ynterne net, betsjut meastal dat de DNS-servers fan it profyl fuortlitten binne of dat split-DNS net bewarre bleaun is. In tunnel dy't omheech komt en gjin ferkear trochlit, betsjut meastal dat rûtes of serverkant-autorisaasje it profyl net folge binne. Deselde argyf opnij ymportearje reprodusearret beide.
Foardat jo de âlde Mac ôfsjogge
It eksport wiskje is gjin weromropping. As it âlde apparaat him mei in sertifikaat autentisearre, fertrout de server dat sertifikaat noch oant it weromroppen of opnij útjûn wurdt. As it him mei in dield account autentisearre, kinne sesjes op dat account noch libje. Doch de stap oan 'e serverkant wylst de hardware noch foar jo stiet.
Bewarje it nije profyl mei jo oare bewiisstikken wannear't it in kaai befettet, en typ it wachtwurd yn 'e klant sadat it yn 'e nije keychain bedarret ynstee fan yn in bestân. Lêste kontrôle: ferbyn fan 'e ferfanging mei de âlde Mac útskeakele. In oerdracht dy't allinnich wurket wylst de boarnemasine online is, wie nea folslein.