העברת גישה ל‑VPN ל‑Mac חדש: מה לתעד קודם
שם חיבור שהועתק אינו זהות מועברת. תעדו את הלקוח, מקור הפרופיל ומסלול ההרשאה, ואז הכינו ובדקו את ה‑Mac החדש.
ההגירה נכשלת בשקט: החיבור מופיע בשורת התפריטים, הפרופיל מיובא, והאימות עדיין נכשל מפני שה‑Mac החדש אינו התקן מורשה. ה‑Mac הישן ממשיך לעבוד, מה שמקל לדחות את התקלה עד שהמכונה הישנה כבר לא תהיה. מלאי קצר שנעשה לפני המעבר מונע את רוב זה. כתבו ממה תלויה הגישה כל עוד אפשר לקרוא אותה מהמכונה שעובדת.
עשו מלאי של הגישה בזמן שה‑Mac הישן עדיין מתחבר
התחילו בלקוח ובפרוטוקול, לא בשם החיבור. השם הוא תווית שהפרופיל הישן בחר; גרסת הלקוח, הפרוטוקול ונקודת הקצה הם מה שהמכונה החדשה צריכה לשחזר. תעדו גם את שם המארח המדויק של נקודת הקצה, כי מעבר אצל הספק יכול להזיז אותה בלי לשנות את התווית.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
רשומת הזהות היא הכבדה ביותר. שם משתמש וקוד חד־פעמי אפשר להזין ב‑Mac החדש, תעודה עם מפתח שניתן לייצוא יכולה לפעמים להיות מיובאת, ותעודה הקשורה להתקן עם מפתח שאינו ניתן לייצוא לא ניתן להעביר כלל. תעדו איזה מהמקרים קיים אצלכם לפני שתכננו את המעבר. אם שתיים מהתשובות סותרות זו את זו, פתרו את הסתירה לפני שתעתיקו משהו.
לבסוף, תעדו את התנהגות הרשת הצפויה: מנהרה מלאה או מנהרה מפוצלת, אילו שמות פנימיים חייבים להיפתר, והאם IPv6 אמור לנוע בתוך המנהרה. מאלה ייגזרו הבדיקות שיחליטו אם ההגירה הצליחה.
הפרידו בין מה שאפשר להעתיק לבין מה שחייב להיות מונפק מחדש
פרופילים ברמת המשתמש, כתובות שרת והעדפות הם בדרך כלל ניידים. מפתחות פרטיים, תעודות התקן ואסימוני רישום אינם, משום שהערך שלהם תלוי בהצמדה למכונה אחת. התייחסו אליהם כאל פריטים שצריך להנפיק מחדש ושאלו את הבעלים על המסלול הנתמך. כל השאר ניתן להעתיק. התהליך של הבעלים, ולא אשף ההגירה, קובע איזו קטגוריה חלה.
עצרו כאן אם הזהות קשורה להתקן ואין מסלול להנפקה מחדש. המשך עם מפתח שהועתק נכשל באימות או, גרוע מכך, משאיר את אותן הרשאות פעילות בשתי מכונות בלי שום תיעוד של השנייה.
אל תשאירו מפתח פרטי או קוד שחזור בהערה או בהודעת צ'אט בזמן המעבר. השתמשו במחזיק המפתחות, במנהל הסיסמאות או בתהליך ה‑escrow של הארגון, ורשמו את המאמת מחדש במקום להעתיק את הזרע שלו. הערת הגירה שמכילה הרשאה הופכת לעותק שני של אותה הרשאה.
הכינו את ה‑Mac החדש במסלול הנתמך
אם ה‑Mac מנוהל, רשמו אותו באותה מערכת ניהול לפני שמוסיפים תצורה ידנית. מערכת הניהול מחזיקה בפרופיל הכפוי, ופרופיל שיובא ביד מעליו יוצר שני מקורות אמת שסותרים זה את זה לאחר שינוי המדיניות הבא.
ב‑Mac שאינו מנוהל, התקינו את הלקוח מהורדה העדכנית של הספק וייבאו את הפרופיל בשיטה שהספק מתעד. גרסאות macOS אחרונות דורשות אישור עבור תצורות VPN והרחבות מערכת בפרטיות ובאבטחה, והרחבה עשויה לדרוש הפעלה מחדש לפני שהמנהרה תתחיל. Apple מתעדת את מסלול הגדרת ה‑VPN הידני אם צריך להשוות אותו לאפליקציה של הספק.
הסירו הגדרות כפולות כשהחדשה עובדת. רשומה מיושנת בהגדרות הרשת והפרופיל של האפליקציה עצמה יכולים שניהם להצביע לאותה נקודת קצה, וזו שמתחברת אינה תמיד זו שחשבתם שערכתם.
בדקו את המסלולים שה‑Mac החדש באמת ישתמש בהם
התחברו ואשרו שהמנהרה מעבירה תעבורה; לאחר מכן בדקו את פתרון השמות ואת הניתוב במקום לסמוך על הסמל בשורת התפריטים. macOS מדווח על פותרים לכל ממשק, ולכן שרת ה‑DNS הפנימי אמור להופיע בממשק המנהרה ושמות פנימיים אמורים להיפתר דרכו. שתי הפקודות למטה רק קוראות מצב.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20עצרו אם שם מארח פנימי נפתר לכתובת ציבורית או אם נתיב ברירת המחדל עדיין מצביע לממשק הפיזי כשהתכן מצפה למנהרה מלאה. שניהם סימנים שהפרופיל יובא בלי הנתיבים שלו או שתצורה אחרת דורסת אותו.
חזרו על הבדיקה לאחר שינה ולאחר התחברות לרשת אחרת.חיבור ששורד את הכניסה הראשונה אך לא סגירת מכסה הוא הגירה שתיכשל בשימוש יומיומי, ותפיסת זה לפני מחיקת ה‑Mac הישן היא מטרת רשימת הבדיקה.
הוציאו את ה‑Mac הישן משימוש ובטלו אותו
השאירו את ההתקן הישן מחובר עד שהחדש יעבור את הבדיקות שלמעלה. לאחר מכן בטלו את ההתקן הישן דרך מסוף המפעיל או מערכת הניהול; מחיקת האפליקציה מה‑Mac הישן אינה מבטלת את הזהות שלו, ופרופיל שהועתק עדיין יכול להאומת.
לאחר הביטול הסירו את הפרופילים, התנתקו מהחשבון ומחקו את הדיסק אם המכונה יוצאת משליטתכם. בדקו שוב את רשימת ההתקנים של הספק כדי לאשר שהרשומה הישנה נעלמה וזו החדשה מתויגת נכון.
אם במהלך המעבר הועתק סוד משותף או הרשאת צוות, החליפו אותם עכשיו במקום להמתין לשינוי המתוכנן הבא. ההגירה מסתיימת כשהזהות הישנה מתה, לא כשהסמל החדש הופך לירוק.