Mit tartalmaz egy Mac VPN export, és mit hagy maga után
A Mac VPN export beállításokat és néha egy privát kulcsot tartalmaz, de nem a kulcskarika jelszavát vagy az eszköz regisztrációját. Először ellenőrizze minden részt.
Kattintson az Export gombra egy Mac VPN kliensben, és egy fájlt kap, amely egy kapcsolatot ír le anélkül, hogy az lenne. A kiszolgáló címe, a port, a protokoll és gyakran a tanúsítványok is benne vannak. A bejelentkezési jelszó, egy privát kulcs jelmondata és az éppen ezt a Macet engedélyező regisztráció általában nem. Ezért egy profil tisztán importálható, megjelenhet az ügyféllistában, és mégis elbukik az első hitelesítési kérésnél; a hiány a formátum tulajdonsága, nem sérült letöltés.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Mit tartalmaz valójában az exportált fájl
Az export egy konténer, és a fájlkiterjesztés kevesebbet mond a tartalomnál. Az OpenVPN profilok szövegek: utasítások, valamint opcionális beágyazott <ca>, <cert> és <key> blokkok. A Tunnelblick beállítások konfigurációk és beállítások tömörített archívumai. Egy kezelt .mobileconfig hasznos terhelések plistje. Két listázás megválaszolja a kérdés nagy részét, mielőtt bármit importálna.
Szöveges profil esetén számolja meg a hordozott PEM blokkokat: grep -c "PRIVATE KEY" your-profile.ovpn. A nullától eltérő eredmény azt jelenti, hogy a fájl kulcsanyagot tartalmaz, és onnantól jelszóként kell kezelni. Archívum esetén kibontás nélkül listázza: tar -tf export.tbz, vagy unzip -l export.zip, ha a kliens zipet készített. Az adott listában szereplő kulcsfájlok, tanúsítványfájlok és fel- vagy lecsatolási szkriptek azok a részek, amelyeket egy felhasználói fiók újrakiadása nem hoz létre újra.
Az ellenkező eset ugyanolyan fontos. Amikor a profil fájlnév alapján hivatkozik egy kulcsra ahelyett, hogy beágyazná, az export szándékosan hiányos, és a hiányzó felének attól kell jönnie, aki kiadta. Ezt a fájlt mellé másolni rendben van, ha ön a tanúsítványhatóság; akkor nincs rendben, ha a fájl olyan eszközhöz kötött tanúsítvánnyal érkezett, amelyet a régi Macen állítottak elő.
Miért nem utazik soha a kulcskarika fele
A macOS a VPN-jelszavakat és kulcs-jelmondatokat a bejelentkezési kulcskarikában tárolja, és a kliensek ott tárolják őket, nem a saját beállításfájljaikban. A Tunnelblick ezt a exportálási és importálási útmutatójában mondja: a beállítási archívum konfigurációkat és beállításokat hordoz, és kihagyja a kulcskarikában tartott felhasználóneveket, jelszavakat és jelmondatokat. A kihagyás szándékos. A kulcskarika elemei felhasználónként és gépenként védettek, így egy másolt elemnek nincs érvényes hozzáférés-szabályozása a célnál, ami vagy haszontalan fájlt vagy nyílt szövegű titkot hagy.
Meg tudja erősíteni, hol él a hitelesítő adat, mielőtt megtervezi az átvitelt. A security find-internet-password -s vpn.example.com kinyomtatja egy egyező elem attribútumait, és nullától eltérő kóddal lép ki, ha nincs ilyen; ugyanaz a parancs a -g kapcsolóval a jelszó felfedését kérné, ezért a nélküle végzett lekérdezés a biztonságosabb ellenőrzés. Egy találat ott azt jelenti, hogy a profil nem hordozza a jelszót, és nem kényszeríthető erre. Azt is jelenti, hogy a jelszót újra kérni fogják az új Macen, és a régin adott «Mindig engedélyezés» ott semmit sem ér.
Nem minden titok kulcskarika-elem azonban. A Tunnelblick saját csomag-dokumentációja megjegyzi, hogy egy csomag tartalmazhat kulcs-, tanúsítvány- és szkriptfájlokat. Tehát az, hogy az export kihagyja a kulcskarika bejegyzéseit, nem ugyanaz az állítás, mint hogy az export biztonságos e-mailben elküldeni; kezelje az archívumot érzékenyként, amíg fel nem sorolta, mi van benne.
A natív és kezelt VPN-eknek nincs exportútvonaluk
A Rendszerbeállításokon keresztül konfigurált kapcsolatok nem kínálnak támogatott exportot. A scutil --nc list megmutatja a rendszer által ismert szolgáltatásokat, a scutil --nc show "Work VPN" pedig kinyomtat egy szolgáltatás konfigurációját, ami elég a kiszolgáló és a protokoll kiolvasásához. Egyik sem migrációs eszköz. A /Library/Preferences/SystemConfiguration/preferences.plist fájlban tárolt szolgáltatásazonosítók arra a fájlra mutató hivatkozások, ezért a fájl másolása és az azonosítók átírása nem támogatott átvitel, és zavarhatja a nem kapcsolódó hálózati szolgáltatásokat a célnál.
A támogatott útvonal az, amelyet az Apple dokumentál: telepítsen egy adminisztrátor által biztosított VPN-beállításfájlt, vagy adja meg azokat a beállításokat, amelyeket az üzemeltető ad. Ha a kapcsolat kezelt, kérjen friss fájlt vagy friss regisztrációt ahelyett, hogy a régi párbeszédablak képernyőképéből építené újra. Az MDM által küldött profil esetén a tanúsítvány hasznos terhelése hordozhatja az identitást, miközben a privát kulcs az eszközön generálódik, és ebben az esetben még a régi profil hibátlan másolata sem tudja hitelesíteni az új Macet.
Ellenőrizze a visszaállítást ahelyett, hogy megbízik a listában
Egy profil a listában és egy működő alagút két különböző állapot, és csak az egyik érdemes jelentésre. Az importálás és csatlakozás után ellenőrizze, hogy létezik-e az alagút interfész, majd ellenőrizze, mit tesz az alagút.
ifconfig | grep -A3 utun mutatja az alagút interfészt és címeit. scutil --dns | grep nameserver mutatja, hogy mely feloldók aktívak a kapcsolat után, és itt térnek el általában a split-DNS profilok. Utána érje el az igazán fontos erőforrást: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ha mindhárom átmegy, a beállítások, a DNS és az útvonalak megérkeztek; egy zöld ikon a kliensben önmagában semmit sem jelent ebből.
Két hiba gyakran megjelenik importálás után, és mindkettőt a fájlra fogják. A nyilvános nevek feloldódása, míg a belsők nem, általában azt jelenti, hogy a profil DNS-kiszolgálói kimaradtak, vagy a split-DNS nem maradt meg. Egy alagút, amely feljön és nem enged át forgalmat, általában azt jelenti, hogy az útvonalak vagy a kiszolgáló oldali engedélyezés nem követte a profilt. Ugyanazon archívum újraimportálása mindkettőt előállítja.
Mielőtt nyugdíjazza a régi Macet
Az export törlése nem visszavonás. Ha a régi eszköz tanúsítvánnyal hitelesített, a kiszolgáló továbbra is megbízik abban a tanúsítványban, amíg vissza nem vonják vagy újra nem adják ki. Ha megosztott fiókkal hitelesített, azon fiók munkamenetei még élhetnek. Tegye meg a kiszolgáló oldali lépést, amíg a hardver még ön előtt van.
Tárolja az új profilt a többi hitelesítő adatával, ha kulcsot tartalmaz, és gépelje be a jelszót a kliensbe, hogy az új kulcskarikába kerüljön, ne egy fájlba. Utolsó ellenőrzés: csatlakozzon a cseredarabról úgy, hogy a régi Mac ki van kapcsolva. Az az átadás, amely csak addig működik, amíg a forrásgép online van, soha nem volt teljes.