Što sadrži izvoz Mac VPN-a i što ostavlja za sobom

Kliknite Export u Mac VPN klijentu i dobit ćete datoteku koja opisuje vezu, a nije veza. Adresa poslužitelja, port, protokol i često certifikati nalaze se unutra. Lozinka za prijavu, lozinka za privatni ključ i registracija koja ovlašćuje baš ovaj Mac obično ne. Zato se profil može čisto uvesti, pojaviti na popisu klijenata i ipak pasti na prvom zahtjevu za autentifikaciju; razmak je svojstvo formata, a ne oštećeno preuzimanje.

Što izvezena datoteka zapravo sadrži

Izvoz je spremnik, a ekstenzija datoteke govori manje od sadržaja. OpenVPN profili su tekst: direktive plus neobavezni ugrađeni blokovi <ca>, <cert> i <key>. Tunnelblick postavke su komprimirani arhivi konfiguracija i postavki. Upravljani .mobileconfig je plist korisnih opterećenja. Dva popisa odgovaraju na veći dio pitanja prije nego što bilo što uvezete.

Za tekstualni profil prebrojite PEM blokove koje nosi: grep -c "PRIVATE KEY" your-profile.ovpn. Rezultat različit od nule znači da datoteka sadrži ključni materijal i od tog se trenutka mora tretirati kao lozinka. Za arhiv ga popišite bez raspakiranja: tar -tf export.tbz, ili unzip -l export.zip ako je klijent napravio zip. Datoteke ključeva, certifikata i skripte za podizanje ili spuštanje na tom popisu dijelovi su koje ponovno izdavanje korisničkog računa neće ponovno stvoriti.

Obrnuti je slučaj jednako važan. Kada profil pokazuje na ključ po imenu datoteke umjesto da ga ugrađuje, izvoz je namjerno nepotpun i nedostajuća polovica mora doći od onoga koji ga je izdao. Kopiranje te datoteke uz njega u redu je kada posjedujete certifikacijsko tijelo; nije u redu kada je datoteka došla s certifikatom vezanim za uređaj koji je generiran na starom Macu.

Zašto polovica iz privjeska s ključevima nikada ne putuje

macOS čuva VPN lozinke i lozinke ključeva u privjesku s ključevima za prijavu, a klijenti ih čuvaju tamo umjesto u vlastitim datotekama postavki. Tunnelblick to kaže u svom vodiču za izvoz i uvoz: arhiv postavki nosi konfiguracije i postavke i izostavlja korisnička imena, lozinke i lozinke ključeva koje se drže u privjesku. Izostavljanje je namjerno. Stavke privjeska zaštićene su po korisniku i po uređaju, pa kopirana stavka nema valjanu kontrolu pristupa na odredištu, što ostavlja ili beskorisnu datoteku ili tajnu u čistom tekstu.

Možete potvrditi gdje akreditiv živi prije nego što planirate premještanje. security find-internet-password -s vpn.example.com ispisuje atribute za odgovarajuću stavku i završava s kodom različitim od nule kada je nema; ista naredba s -g bi tražila otkrivanje lozinke, zato je upit bez toga sigurnija provjera. Pogodak tamo znači da profil ne nosi lozinku i ne može se natjerati da je nosi. Znači i da će lozinka ponovno biti zatražena na novom Macu, a odobrenje «Uvijek dopusti» na starom tamo ništa ne vrijedi.

Nije svaka tajna stavka privjeska, međutim. Vlastita dokumentacija paketa Tunnelblick napominje da paket može sadržavati datoteke ključeva, certifikata i skripti. Dakle, izvoz koji izostavlja stavke privjeska nije ista tvrdnja kao da je izvoz siguran za slanje e-poštom; tretirajte arhiv kao osjetljiv dok ne popišete što je u njemu.

Ugrađeni i upravljani VPN-ovi nemaju put izvoza

Veze konfigurirane kroz Postavke sustava ne nude podržani izvoz. scutil --nc list prikazuje usluge koje sustav poznaje, a scutil --nc show "Work VPN" ispisuje konfiguraciju jedne usluge, dovoljno da pročitate njezin poslužitelj i protokol. Niti jedno nije alat za migraciju. Identifikatori usluga pohranjeni u /Library/Preferences/SystemConfiguration/preferences.plist reference su u tu datoteku, pa kopiranje datoteke i prepisivanje identifikatora nije podržan prijenos i može poremetiti nepovezane mrežne usluge na odredištu.

Podržani put je onaj koji Apple dokumentira: instalirajte datoteku VPN postavki koju je dao administrator ili unesite postavke koje vam operater daje. Kada je veza upravljana, zatražite novu datoteku ili novu registraciju umjesto da je obnavljate sa snimke zaslona starog dijaloga. Za profil koji gura MDM, certifikatno opterećenje može nositi identitet dok se privatni ključ generira na uređaju, i u tom slučaju čak ni besprijekorna kopija starog profila ne može autentificirati novi Mac.

Provjerite obnovu umjesto da vjerujete popisu

Profil na popisu i tunel koji radi dva su različita stanja i samo jedno od njih vrijedi prijaviti. Nakon uvoza i povezivanja provjerite postoji li sučelje tunela, pa provjerite što tunel radi.

ifconfig | grep -A3 utun prikazuje sučelje tunela i njegove adrese. scutil --dns | grep nameserver prikazuje koji su razrješivači aktivni nakon veze, i tu se split-DNS profili obično razilaze. Zatim dosegnite resurs koji je zaista važan: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ako sva tri prođu, postavke, DNS i rute su stigle; zelena ikona u klijentu sama po sebi ne znači ništa od toga.

Dva kvara često se pojavljuju nakon uvoza i oba se pripisuju datoteci. Javna imena se razrješavaju, a interna ne, obično znači da su DNS poslužitelji profila ispušteni ili split-DNS nije sačuvan. Tunel koji se podigne i ne propušta promet obično znači da rute ili autorizacija na strani poslužitelja nisu slijedile profil. Ponovni uvoz istog arhiva reproducira oboje.

Prije nego što umirovite stari Mac

Brisanje izvoza nije opoziv. Ako se stari uređaj autentificirao certifikatom, poslužitelj još vjeruje tom certifikatu dok se ne opozove ili ponovno izda. Ako se autentificirao dijeljenim računom, sesije na tom računu možda su još žive. Obavite korak na strani poslužitelja dok vam je hardver još pred očima.

Pohranite novi profil s ostalim akreditivima kada sadrži ključ, i upišite lozinku u klijent tako da završi u novom privjesku, a ne u datoteci. Posljednja provjera: povežite se sa zamjene dok je stari Mac isključen. Predaja koja radi samo dok je izvorni stroj na mreži nikada nije bila potpuna.