Que contén unha exportación de VPN de Mac e que deixa atrás
Unha exportación de VPN de Mac leva axustes e ás veces unha chave privada, pero non o contrasinal do chaveiro nin o rexistro do dispositivo. Comprobe cada parte primeiro.
Prema Export nun cliente VPN de Mac e obterá un ficheiro que describe unha conexión sen ser unha. O enderezo do servidor, o porto, o protocolo e a miúdo os certificados están dentro. O contrasinal de inicio de sesión, a frase de paso dunha chave privada e o rexistro que autoriza precisamente este Mac normalmente non. Por iso un perfil pode importarse limpo, aparecer na lista do cliente e aínda así fallar na primeira solicitude de autenticación; o oco é unha propiedade do formato, non unha descarga corrupta.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Que contén realmente o ficheiro exportado
Unha exportación é un contedor, e a extensión do ficheiro di menos que o contido. Os perfís de OpenVPN son texto: directivas, máis bloques incrustados opcionais <ca>, <cert> e <key>. As configuracións de Tunnelblick son arquivos comprimidos de configuracións e axustes. Un .mobileconfig xestionado é un plist de cargas útiles. Dous listados responden á maior parte da pregunta antes de que importe nada.
Para un perfil de texto, conte os bloques PEM que leva: grep -c "PRIVATE KEY" your-profile.ovpn. Un resultado distinto de cero significa que o ficheiro contén material de chave e debe tratarse como un contrasinal desde ese momento. Para un arquivo, lísteo sen extraelo: tar -tf export.tbz, ou unzip -l export.zip se o cliente produciu un zip. Os ficheiros de chave, os de certificado e os scripts de subida ou baixada dese listado son as partes que a reemisión dunha conta de usuario non recreará.
O caso contrario importa igual. Cando o perfil apunta a unha chave polo nome do ficheiro en lugar de incrustala, a exportación está incompleta a propósito e a metade que falta ten que vir de quen a emitiu. Copiar ese ficheiro ao lado está ben cando vostede posúe a autoridade de certificación; non está ben cando o ficheiro viña cun certificado vinculado ao dispositivo que se xerou no Mac antigo.
Por que a metade do chaveiro nunca viaxa
macOS garda os contrasinais de VPN e as frases de paso das chaves no chaveiro de inicio de sesión, e os clientes almacénanas alí en lugar de nos seus propios ficheiros de axustes. Tunnelblick dío na súa guía de exportación e importación: o arquivo de configuración leva configuracións e axustes e deixa fóra os nomes de usuario, os contrasinais e as frases de paso que se gardan no chaveiro. A omisión é deliberada. Os elementos do chaveiro están protexidos por usuario e por máquina, así que un elemento copiado non ten ningún control de acceso válido no destino, o que deixa ou un ficheiro inútil ou un segredo en texto plano.
Pode confirmar onde vive a credencial antes de planificar o traslado. security find-internet-password -s vpn.example.com imprime os atributos dun elemento coincidente e remata cun código distinto de cero cando non hai ningún; a mesma orde con -g pediría revelar o contrasinal, por iso a consulta sen esa opción é a comprobación máis segura. Un resultado alí significa que o perfil non leva o contrasinal e non se lle pode obrigar a levalo. Tamén significa que o contrasinal se pedirá de novo no Mac novo, e un permiso «Permitir sempre» no vello alí non conta para nada.
Non todo segredo é un elemento do chaveiro, porén. A documentación do paquete de Tunnelblick sinala que un paquete pode conter ficheiros de chave, de certificado e de script. Así que o feito de que a exportación exclúa as entradas do chaveiro non é a mesma afirmación que dicir que a exportación é segura para enviar por correo; trate o arquivo como sensible ata que teña listado que hai dentro.
As VPN nativas e xestionadas non teñen ruta de exportación
As conexións configuradas mediante Axustes do Sistema non ofrecen unha exportación compatible. scutil --nc list mostra os servizos que o sistema coñece, e scutil --nc show "Work VPN" imprime a configuración dun servizo, abondo para ler o seu servidor e o seu protocolo. Ningunha das dúas é unha ferramenta de migración. Os identificadores de servizo gardados en /Library/Preferences/SystemConfiguration/preferences.plist son referencias dentro dese ficheiro, así que copiar o ficheiro e reescribir identificadores non é un traslado compatible e pode perturbar servizos de rede non relacionados no destino.
A ruta compatible é a que Apple documenta: instale un ficheiro de axustes de VPN proporcionado polo administrador, ou introduza os axustes que lle dea o operador. Cando a conexión é xestionada, pida un ficheiro novo ou un rexistro novo en lugar de reconstruíla a partir dunha captura do diálogo antigo. Para un perfil empurrado por MDM, a carga do certificado pode levar a identidade mentres a chave privada se xera no dispositivo, e nese caso nin unha copia impecable do perfil antigo pode autenticar o Mac novo.
Verifique a restauración en lugar de confiar na lista
Un perfil na lista e un túnel que funciona son dous estados distintos, e só un deles merece informarse. Despois de importar e conectar, comprobe que a interface do túnel existe e despois comprobe que fai o túnel.
ifconfig | grep -A3 utun mostra a interface do túnel e os seus enderezos. scutil --dns | grep nameserver mostra que resolvedores están activos despois da conexión, e é aí onde os perfís de split-DNS adoitan diverxer. Logo acade o recurso que realmente importa: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Se os tres pasan, os axustes, o DNS e as rutas chegaron; unha icona verde no cliente non significa nada diso por si soa.
Dous fallos aparecen a miúdo despois dunha importación e ambos se lle botan a culpa ao ficheiro. Que os nomes públicos se resolvan e os internos non adoita significar que os servidores DNS do perfil se perderon ou que o split-DNS non se conservou. Un túnel que levanta e non pasa tráfico adoita significar que as rutas ou a autorización do lado do servidor non seguiron o perfil. Reimportar o mesmo arquivo reproduce ambos.
Antes de retirar o Mac antigo
Borrar a exportación non é revogala. Se o dispositivo antigo se autenticaba cun certificado, o servidor segue confiando nese certificado ata que se revogue ou se reemita. Se se autenticaba cunha conta compartida, as sesións desa conta poden seguir vivas. Faga o paso do lado do servidor mentres o hardware aínda está diante de vostede.
Garde o perfil novo coas súas outras credenciais cando conteña unha chave, e escriba o contrasinal no cliente para que acabe no chaveiro novo e non nun ficheiro. Última comprobación: conéctese desde o substituto co Mac antigo apagado. Un traspaso que só funciona mentres a máquina de orixe está en liña nunca foi completo.