Desprazar o acceso VPN a un Mac novo: que anotar primeiro

A migración falla en silencio: a conexión aparece na barra de menús, o perfil impórtase e a autenticación segue fallando porque o Mac novo non é un dispositivo autorizado. O Mac vello segue funcionando, o que fai doado aprazar o fallo ata que a máquina vella xa non estea. Un inventario breve antes do cambio evita case todo. Anota do que depende o acceso mentres aínda podes lelo na máquina que funciona.

Fai o inventario do acceso mentres o Mac vello aínda conecta

Comeza polo cliente e polo protocolo, non polo nome da conexión. O nome é unha etiqueta que escolleu o perfil antigo; a versión do cliente, o protocolo e o extremo son o que a máquina nova debe reproducir. Anota tamén o nome de host exacto do extremo, porque unha migración do provedor pode movelo sen cambiar a etiqueta.

A entrada de identidade é a que máis pesa. Un nome de usuario e un código dun só uso pódense introducir no Mac novo, un certificado con clave exportable ás veces pódese importar, e un certificado vinculado ao dispositivo cunha clave non exportable non se pode trasladar de ningún xeito. Anota cal destes casos tes antes de planificar o cambio. Se dúas desas respostas non coinciden, resolve a discrepancia antes de copiar nada.

Por último, anota o comportamento de rede previsto: túnel completo ou túnel dividido, que nomes internos deben resolverse e se se espera que IPv6 viaxe dentro do túnel. Iso convértese nas probas que deciden se a migración funcionou.

Separa o que se pode copiar do que debe volver emitirse

Os perfís de usuario, os enderezos de servidor e as preferencias adoitan ser portables. As claves privadas, os certificados de dispositivo e os tokens de inscrición non o son, porque o seu valor depende de estar vinculados a unha única máquina. Trátaos como elementos que deben volver emitirse e pregunta ao propietario pola ruta admitida. Todo o demais pódese copiar. Decide o proceso do propietario, non o asistente de migración.

Detente aquí se a identidade está vinculada ao dispositivo e non existe unha ruta de reemisión. Continuar cunha clave copiada falla na autenticación ou, peor, deixa a mesma credencial activa en dúas máquinas sen rexistro da segunda.

Non deixes unha clave privada nin un código de recuperación nunha nota ou nunha mensaxe de chat durante o traslado. Usa o chaveiro, o xestor de contrasinais ou o proceso de depósito da organización, e volve inscribir o autenticador en lugar de copiar a súa semente. Unha nota de migración que contén unha credencial convértese nunha segunda copia desa credencial.

Prepara o Mac novo pola ruta admitida

Se o Mac está xestionado, inscríbeo no mesmo sistema de xestión antes de engadir configuración manual. O sistema de xestión posúe o perfil imposto, e un perfil importado a man por riba del crea dúas fontes de verdade que discrepan tras o seguinte cambio de política.

Nun Mac non xestionado, instala o cliente desde a descarga actual do provedor e importa o perfil mediante o método que documenta o provedor. As versións recentes de macOS esixen aprobación para as configuracións VPN e as extensións de sistema en Privacidade e seguridade, e unha extensión pode necesitar un reinicio antes de que o túnel arrinque. Apple documenta a ruta de configuración manual de VPN se precisas comparala coa aplicación do provedor.

Elimina as definicións duplicadas cando a nova funcione. Unha entrada obsoleta nos axustes de Rede e o propio perfil da aplicación poden apuntar ao mesmo extremo, e a que conecta non sempre é a que cres que ediches.

Proba as rutas que o Mac novo vai usar de verdade

Conéctate e confirma que o túnel transporta tráfico; despois revisa a resolución de nomes e o encamiñamento en lugar de fiarte da icona da barra de menús. macOS informa dos resolvedores por interface, así que o servidor DNS interno debe aparecer na interface do túnel e os nomes internos deben resolverse a través del. Ambos os comandos de abaixo só len o estado.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Detente se un nome de host interno se resolve nun enderezo público ou se a ruta por defecto segue apuntando á interface física cando o deseño espera un túnel completo. Ambas son sinais de que o perfil se importou sen as súas rutas ou de que outra configuración o está anulando.

Repite a proba tras a suspensión e tras unirte a outra rede. Unha conexión que sobrevive ao primeiro inicio de sesión pero non ao peche da tapa é unha migración que fallará no uso diario, e detectalo antes de borrar o Mac vello é o obxectivo da lista.

Retira o Mac vello e revócao

Mantén o dispositivo vello conectado ata que o novo supere as probas anteriores. Despois revoca o dispositivo vello desde a consola do operador ou o sistema de xestión; borrar a aplicación do Mac vello non revoga a súa identidade, e un perfil copiado aínda pode autenticarse.

Tras a revocación, elimina os perfís, pecha a sesión da conta e borra o disco se a máquina sae do teu control. Revisa unha vez máis a lista de dispositivos do provedor para confirmar que a entrada vella desapareceu e que a nova está etiquetada correctamente.

Se durante o traslado se copiou un segredo compartido ou unha credencial de equipo, rótaa agora en lugar de agardar o seguinte cambio programado. A migración remata cando a identidade vella está morta, non cando a icona nova se pon verde.