Premještanje VPN pristupa na novi Mac: što prvo zapisati
Kopirani naziv veze nije migrirani identitet. Zapišite klijenta, izvor profila i put autorizacije, zatim pripremite i testirajte novi Mac.
Migracija tiho ne uspijeva: veza se pojavi u traci izbornika, profil se uveze, a autentikacija i dalje ne uspijeva jer novi Mac nije ovlašteni uređaj. Stari Mac nastavlja raditi, što olakšava odgađanje kvara dok stari stroj ne nestane. Kratak popis prije prelaska sprječava većinu toga. Zapišite o čemu pristup ovisi dok to još možete pročitati s radnog stroja.
Popišite pristup dok se stari Mac još povezuje
Počnite s klijentom i protokolom, a ne s nazivom veze. Naziv je oznaka koju je odabrao stari profil; verzija klijenta, protokol i krajnja točka ono su što novi stroj mora reproducirati. Zapišite i točan naziv hosta krajnje točke, jer je migracija kod pružatelja može premjestiti bez promjene oznake.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Unos identiteta nosi najveću težinu. Korisničko ime i jednokratni kod mogu se unijeti na novom Macu, certifikat s izvozivim ključem ponekad se može uvesti, a certifikat vezan uz uređaj s neizvozivim ključem ne može se premjestiti uopće. Zapišite koji od tih slučajeva imate prije planiranja prelaska. Ako se dva od tih odgovora ne slažu, riješite nesklad prije nego što bilo što kopirate.
Na kraju zapišite očekivano ponašanje mreže: puni tunel ili podijeljeni tunel, koja se interna imena moraju razriješiti i očekuje li se IPv6 unutar tunela. Iz toga nastaju testovi koji odlučuju je li migracija uspjela.
Odvojite što se može kopirati od onoga što se mora ponovno izdati
Profili na razini korisnika, adrese poslužitelja i postavke obično su prenosivi. Privatni ključevi, certifikati uređaja i tokeni za upis nisu, jer njihova vrijednost ovisi o vezanosti uz jedan stroj. Tretirajte ih kao stavke koje treba ponovno izdati i pitajte vlasnika za podržani put. Sve ostalo može se kopirati. Kategoriju određuje vlasnikov postupak, a ne čarobnjak za migraciju.
Zaustavite se ovdje ako je identitet vezan uz uređaj i ne postoji put za ponovno izdavanje. Nastavak s kopiranim ključem ne uspijeva pri autentikaciji ili, još gore, ostavlja iste vjerodajnice aktivnima na dva stroja bez ikakvog zapisa o drugom.
Ne ostavljajte privatni ključ ni kôd za oporavak u bilješci ili chat poruci tijekom premještanja. Koristite privjesak ključeva, upravitelja zaporkama ili escrow postupak organizacije i ponovno upišite autentikator umjesto da kopirate njegovo sjeme. Migracijska bilješka koja sadrži vjerodajnicu postaje druga kopija te vjerodajnice.
Pripremite novi Mac podržanim putem
Ako je Mac upravljan, upišite ga u isti sustav upravljanja prije dodavanja ručne konfiguracije. Sustav upravljanja posjeduje nametnuti profil, a ručno uvezeni profil povrh njega stvara dva izvora istine koji se razilaze nakon sljedeće promjene pravila.
Na neupravljanom Macu instalirajte klijenta iz trenutačnog preuzimanja pružatelja i uvezite profil metodom koju pružatelj dokumentira. Novije verzije macOS-a zahtijevaju odobrenje konfiguracija VPN i sistemskih proširenja u Privatnosti i sigurnosti, a proširenje može zahtijevati ponovno pokretanje prije nego tunel krene. Apple opisuje ručni put za postavljanje VPN-a ako ga želite usporediti s aplikacijom pružatelja.
Uklonite dvostruke definicije kad nova proradi. Zastario unos u postavkama Mreže i vlastiti profil aplikacije mogu oba pokazivati na istu krajnju točku, a ona koja se povezuje nije uvijek ona za koju mislite da ste je uredili.
Testirajte putove koje će novi Mac doista koristiti
Povežite se i potvrdite da tunel prenosi promet; zatim provjerite razrješavanje naziva i usmjeravanje umjesto da vjerujete ikoni u traci izbornika. macOS izvješćuje o razrješivačima po sučelju, pa bi se interni DNS poslužitelj trebao pojaviti na sučelju tunela, a interna imena trebala bi se razrješavati preko njega. Obje naredbe u nastavku samo čitaju stanje.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Zaustavite se ako se interno ime hosta razriješi u javnu adresu ili ako zadana ruta i dalje pokazuje na fizičko sučelje kad dizajn očekuje puni tunel. Oboje je znak da je profil uvezen bez svojih ruta ili da ga nadjačava druga konfiguracija.
Ponovite test nakon mirovanja i nakon spajanja na drugu mrežu. Veza koja preživi prvu prijavu, ali ne i zatvaranje poklopca migracija je koja će u svakodnevnoj upotrebi propasti, a uhvatiti to prije brisanja starog Maca smisao je kontrolnog popisa.
Povucite stari Mac iz upotrebe i opozovite ga
Držite stari uređaj povezan dok novi ne prođe gornje testove. Zatim opozovite stari uređaj u konzoli operatera ili sustavu upravljanja; brisanje aplikacije sa starog Maca ne opoziva njegov identitet, a kopirani profil može se i dalje autenticirati.
Nakon opoziva uklonite profile, odjavite se s računa i obrišite disk ako stroj napušta vašu kontrolu. Provjerite još jednom popis uređaja pružatelja kako biste potvrdili da je stari unos nestao i da je novi ispravno označen.
Ako je tijekom premještanja kopirana zajednička tajna ili timske vjerodajnice, rotirajte ih sada umjesto da čekate sljedeću planiranu promjenu. Migracija je gotova kad je stari identitet mrtav, a ne kad nova ikona postane zelena.