Mac VPN एक्सपोर्ट में क्या होता है, और क्या पीछे रह जाता है
Mac VPN एक्सपोर्ट में सेटिंग्स और कभी-कभी एक निजी कुंजी होती है, पर कीचेन पासवर्ड या डिवाइस पंजीकरण नहीं। पहले हर हिस्सा जाँचें।
Mac VPN क्लाइंट में Export दबाएँ और आपको एक फ़ाइल मिलती है जो एक कनेक्शन का वर्णन करती है, स्वयं कनेक्शन नहीं होती। सर्वर पता, पोर्ट, प्रोटोकॉल और अक्सर प्रमाणपत्र उसके भीतर होते हैं। लॉगिन पासवर्ड, निजी कुंजी का पासफ़्रेज़ और ठीक इस Mac को अधिकृत करने वाला पंजीकरण आमतौर पर नहीं होते। इसलिए एक प्रोफ़ाइल साफ़ तौर पर आयात हो सकती है, क्लाइंट सूची में दिख सकती है और फिर भी पहले प्रमाणीकरण अनुरोध पर विफल हो सकती है; यह अंतर प्रारूप का गुण है, खराब डाउनलोड नहीं।
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
निर्यात की गई फ़ाइल में वास्तव में क्या होता है
एक निर्यात एक कंटेनर है, और फ़ाइल एक्सटेंशन सामग्री से कम बताता है। OpenVPN प्रोफ़ाइल टेक्स्ट हैं: निर्देश, साथ में वैकल्पिक इनलाइन <ca>, <cert> और <key> ब्लॉक। Tunnelblick सेटअप कॉन्फ़िगरेशन और सेटिंग्स के संपीड़ित आर्काइव हैं। एक प्रबंधित .mobileconfig पेलोड का plist है। कुछ भी आयात करने से पहले दो सूचियाँ प्रश्न का अधिकांश उत्तर देती हैं।
टेक्स्ट प्रोफ़ाइल के लिए, उसके द्वारा ले जाए गए PEM ब्लॉक गिनें: grep -c "PRIVATE KEY" your-profile.ovpn। गैर-शून्य परिणाम का अर्थ है कि फ़ाइल में कुंजी सामग्री है और उस क्षण से इसे पासवर्ड की तरह संभालना होगा। आर्काइव के लिए, उसे निकाले बिना सूचीबद्ध करें: tar -tf export.tbz, या unzip -l export.zip यदि क्लाइंट ने zip बनाया है। उस सूची में कुंजी फ़ाइलें, प्रमाणपत्र फ़ाइलें और अप या डाउन स्क्रिप्ट वे हिस्से हैं जिन्हें उपयोगकर्ता खाते का पुनः जारी होना फिर से नहीं बनाएगा।
उलटा मामला भी उतना ही मायने रखता है। जब प्रोफ़ाइल कुंजी को एम्बेड करने के बजाय फ़ाइल नाम से इंगित करती है, तो निर्यात जानबूझकर अधूरा है और छूटा हुआ आधा हिस्सा उसी से आना चाहिए जिसने उसे जारी किया। उस फ़ाइल को साथ कॉपी करना ठीक है जब प्रमाणपत्र प्राधिकरण आपका हो; यह ठीक नहीं है जब फ़ाइल पुराने Mac पर बने डिवाइस-बद्ध प्रमाणपत्र के साथ आई हो।
कीचेन का आधा हिस्सा कभी यात्रा क्यों नहीं करता
macOS VPN पासवर्ड और कुंजी पासफ़्रेज़ को लॉगिन कीचेन में रखता है, और क्लाइंट उन्हें अपनी सेटिंग्स फ़ाइलों के बजाय वहीं संग्रहीत करते हैं। Tunnelblick यह अपनी निर्यात और आयात मार्गदर्शिका में कहता है: सेटअप आर्काइव कॉन्फ़िगरेशन और सेटिंग्स ले जाता है और कीचेन में रखे उपयोगकर्ता नाम, पासवर्ड और पासफ़्रेज़ छोड़ देता है। छोड़ना जानबूझकर है। कीचेन आइटम प्रति उपयोगकर्ता और प्रति मशीन संरक्षित होते हैं, इसलिए कॉपी किए गए आइटम का गंतव्य पर कोई वैध पहुँच नियंत्रण नहीं होता, जिससे या तो बेकार फ़ाइल या सादे टेक्स्ट में एक रहस्य बचता है।
स्थानांतरण की योजना बनाने से पहले आप पुष्टि कर सकते हैं कि क्रेडेंशियल कहाँ रहता है। security find-internet-password -s vpn.example.com मेल खाते आइटम के गुण प्रिंट करता है और कोई न होने पर गैर-शून्य कोड के साथ समाप्त होता है; वही कमांड -g के साथ पासवर्ड प्रकट करने के लिए कहता, इसलिए उसके बिना प्रश्न अधिक सुरक्षित जाँच है। वहाँ मिलना इस बात का अर्थ है कि प्रोफ़ाइल पासवर्ड नहीं ले जाती और उसे ऐसा करने के लिए बाध्य नहीं किया जा सकता। इसका यह भी अर्थ है कि नए Mac पर पासवर्ड फिर माँगा जाएगा, और पुराने पर दी गई «हमेशा अनुमति दें» वहाँ कुछ नहीं गिनती।
हालाँकि हर रहस्य कीचेन आइटम नहीं है। Tunnelblick का अपना पैकेज दस्तावेज़ नोट करता है कि पैकेज में कुंजी, प्रमाणपत्र और स्क्रिप्ट फ़ाइलें हो सकती हैं। इसलिए निर्यात का कीचेन प्रविष्टियाँ छोड़ना यह दावा नहीं है कि निर्यात ईमेल से भेजने के लिए सुरक्षित है; आर्काइव में क्या है यह सूचीबद्ध करने तक उसे संवेदनशील मानें।
मूल और प्रबंधित VPN के पास निर्यात पथ नहीं है
सिस्टम सेटिंग्स के माध्यम से कॉन्फ़िगर किए गए कनेक्शन कोई समर्थित निर्यात नहीं देते। scutil --nc list वे सेवाएँ दिखाता है जिन्हें सिस्टम जानता है, और scutil --nc show "Work VPN" एक सेवा का कॉन्फ़िगरेशन प्रिंट करता है, जो उसका सर्वर और प्रोटोकॉल पढ़ने के लिए पर्याप्त है। इनमें से कोई भी माइग्रेशन उपकरण नहीं है। /Library/Preferences/SystemConfiguration/preferences.plist में संग्रहीत सेवा पहचानकर्ता उस फ़ाइल के भीतर के संदर्भ हैं, इसलिए फ़ाइल की प्रतिलिपि बनाना और पहचानकर्ता फिर से लिखना समर्थित स्थानांतरण नहीं है और गंतव्य पर असंबंधित नेटवर्क सेवाओं को बाधित कर सकता है।
समर्थित मार्ग वही है जिसे Apple दस्तावेज़ित करता है: प्रशासक द्वारा दी गई VPN सेटिंग्स फ़ाइल स्थापित करें, या ऑपरेटर जो सेटिंग्स देता है वे दर्ज करें। जब कनेक्शन प्रबंधित हो, तो पुराने डायलॉग के स्क्रीनशॉट से उसे फिर बनाने के बजाय नई फ़ाइल या नया पंजीकरण माँगें। MDM द्वारा भेजी गई प्रोफ़ाइल के लिए, प्रमाणपत्र पेलोड पहचान ले जा सकता है जबकि निजी कुंजी डिवाइस पर बनती है, और उस स्थिति में पुरानी प्रोफ़ाइल की त्रुटिहीन प्रतिलिपि भी नए Mac को प्रमाणित नहीं कर सकती।
सूची पर भरोसा करने के बजाय पुनर्स्थापन सत्यापित करें
सूची में प्रोफ़ाइल और काम करने वाला टनल दो अलग अवस्थाएँ हैं, और इनमें से केवल एक रिपोर्ट करने योग्य है। आयात और कनेक्ट के बाद, जाँचें कि टनल इंटरफ़ेस मौजूद है, फिर जाँचें कि टनल क्या कर रहा है।
ifconfig | grep -A3 utun टनल इंटरफ़ेस और उसके पते दिखाता है। scutil --dns | grep nameserver दिखाता है कि कनेक्शन के बाद कौन से रिज़ॉल्वर सक्रिय हैं, और यहीं split-DNS प्रोफ़ाइल आमतौर पर अलग होती हैं। फिर उस संसाधन तक पहुँचें जो वास्तव में मायने रखता है: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com। यदि तीनों पास हों, तो सेटिंग्स, DNS और रूट आ गए; क्लाइंट में हरा आइकन अपने आप में इनमें से कुछ नहीं कहता।
आयात के बाद दो विफलताएँ अक्सर दिखती हैं और दोनों का दोष फ़ाइल पर डाला जाता है। सार्वजनिक नाम हल होना जबकि आंतरिक नहीं, आमतौर पर इसका अर्थ है कि प्रोफ़ाइल के DNS सर्वर छोड़ दिए गए या split-DNS संरक्षित नहीं रहा। जो टनल ऊपर आता है और कोई ट्रैफ़िक पार नहीं करता, आमतौर पर इसका अर्थ है कि रूट या सर्वर-पक्ष प्राधिकरण प्रोफ़ाइल का अनुसरण नहीं कर पाए। उसी आर्काइव का पुनः आयात दोनों को पुनः उत्पन्न करता है।
पुराने Mac को सेवानिवृत्त करने से पहले
निर्यात हटाना निरसन नहीं है। यदि पुराने डिवाइस ने प्रमाणपत्र से प्रमाणीकरण किया, तो सर्वर उस प्रमाणपत्र पर तब तक भरोसा करता है जब तक वह निरसित या पुनः जारी न हो। यदि उसने साझा खाते से प्रमाणीकरण किया, तो उस खाते के सत्र अभी भी सक्रिय हो सकते हैं। सर्वर-पक्ष कदम तब उठाएँ जब हार्डवेयर अभी आपके सामने है।
नई प्रोफ़ाइल को अपने अन्य क्रेडेंशियल के साथ संग्रहीत करें जब उसमें कुंजी हो, और पासवर्ड क्लाइंट में टाइप करें ताकि वह फ़ाइल में नहीं, नए कीचेन में जाए। अंतिम जाँच: पुराने Mac के बंद रहने पर प्रतिस्थापन से कनेक्ट करें। जो हस्तांतरण केवल तभी काम करता है जब स्रोत मशीन ऑनलाइन हो, वह कभी पूरा नहीं था।