Ինչ է պարունակում Mac-ի VPN արտահանումը և ինչ է թողնում հետևում
Mac-ի VPN արտահանումը պարունակում է կարգավորումներ և երբեմն մասնավոր բանալի, բայց ոչ բանալիների կապոցի գաղտնաբառը կամ սարքի գրանցումը: Նախ ստուգեք յուրաքանչյուր մասը:
Սեղմեք Export Mac-ի VPN հաճախորդում և կստանաք ֆայլ, որը նկարագրում է կապակցում՝ առանց ինքը կապակցում լինելու։ Սերվերի հասցեն, պորտը, արձանագրությունը և հաճախ նաև վկայագրերը գտնվում են դրա ներսում։ Մուտքի գաղտնաբառը, մասնավոր բանալու գաղտնաբառային արտահայտությունը և հենց այս Mac-ն լիազորող գրանցումը սովորաբար ոչ։ Այդ պատճառով պրոֆիլը կարող է մաքուր ներմուծվել, հայտնվել հաճախորդի ցանկում և այնուամենայնիվ ձախողվել առաջին նույնականացման հարցման ժամանակ; բացը ձևաչափի հատկություն է, ոչ թե վնասված ներբեռնում։
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Ինչ է իրականում պարունակում արտահանված ֆայլը
Արտահանումը տարա է, և ֆայլի ընդլայնումը ավելի քիչ է ասում, քան բովանդակությունը։ OpenVPN պրոֆիլները տեքստ են՝ հրահանգներ, գումարած ընտրովի ներկառուցված <ca>, <cert> և <key> բլոկներ։ Tunnelblick-ի կարգավորումները սեղմված արխիվներ են՝ կոնֆիգուրացիաներից և կարգավորումներից։ Կառավարվող .mobileconfig-ը plist է՝ օգտակար բեռնվածքներից։ Երկու ցանկ պատասխանում են հարցի մեծ մասին նախքան որևէ բան ներմուծելը։
Տեքստային պրոֆիլի համար հաշվեք նրա կրած PEM բլոկները՝ grep -c "PRIVATE KEY" your-profile.ovpn։ Զրոյից տարբեր արդյունքը նշանակում է, որ ֆայլը պարունակում է բանալու նյութ և այդ պահից պետք է վարվել ինչպես գաղտնաբառի հետ։ Արխիվի համար թվարկեք այն առանց արխիվից հանելու՝ tar -tf export.tbz, կամ unzip -l export.zip, եթե հաճախորդը zip է ստեղծել։ Այդ ցանկի բանալու ֆայլերը, վկայագրի ֆայլերը և վերև կամ ներքև սկրիպտները այն մասերն են, որոնք օգտվողի հաշվի վերաթողարկումը չի վերստեղծի։
Հակառակ դեպքը նույնքան կարևոր է։ Երբ պրոֆիլը մատնանշում է բանալուն ֆայլի անունով՝ այն ներկառուցելու փոխարեն, արտահանումը միտումնավոր թերի է, և բացակայող կեսը պետք է գա նրանից, ով այն թողարկել է։ Այդ ֆայլը կողքին պատճենելը ճիշտ է, երբ վկայագրի մարմինը ձեզն է պատկանում; ճիշտ չէ, երբ ֆայլը եկել է սարքին կապված վկայագրի հետ, որը ստեղծվել է հին Mac-ում։
Ինչու բանալիների կապոցի կեսը երբեք չի ճամփորդում
macOS-ը VPN գաղտնաբառերը և բանալիների գաղտնաբառային արտահայտությունները պահում է մուտքի բանալիների կապոցում, և հաճախորդները դրանք պահում են այնտեղ, այլ ոչ թե իրենց կարգավորումների ֆայլերում։ Tunnelblick-ը դա ասում է իր արտահանման և ներմուծման ուղեցույցում: տեղադրման արխիվը կրում է կոնֆիգուրացիաներ և կարգավորումներ և դուրս է թողնում բանալիների կապոցում պահվող օգտանունները, գաղտնաբառերը և գաղտնաբառային արտահայտությունները։ Բաց թողնելը միտումնավոր է։ Բանալիների կապոցի տարրերը պաշտպանված են ըստ օգտվողի և ըստ մեքենայի, ուստի պատճենված տարրը նպատակակետում չունի վավեր մուտքի վերահսկում, ինչը թողնում է կամ անօգուտ ֆայլ, կամ գաղտնիք բաց տեքստով։
Կարող եք հաստատել, թե որտեղ է ապրում հավատարմագիրը, նախքան տեղափոխությունը պլանավորելը։ security find-internet-password -s vpn.example.com տպում է համապատասխան տարրի ատրիբուտները և ավարտվում ոչ զրոյական կոդով, երբ այդպիսին չկա; նույն հրամանը -g-ով կպահանջեր բացահայտել գաղտնաբառը, այդ պատճառով առանց դրա հարցումն ավելի անվտանգ ստուգում է։ Այնտեղ արդյունք գտնելը նշանակում է, որ պրոֆիլը գաղտնաբառը չի կրում և հնարավոր չէ ստիպել դա անել։ Դա նաև նշանակում է, որ գաղտնաբառը նորից կհարցվի նոր Mac-ում, և հինում տրված «Միշտ թույլատրել» թույլտվությունն այնտեղ ոչինչ չարժե։
Սակայն ամեն գաղտնիք բանալիների կապոցի տարր չէ։ Tunnelblick-ի սեփական փաթեթի փաստաթղթերը նշում են, որ փաթեթը կարող է պարունակել բանալու, վկայագրի և սկրիպտի ֆայլեր։ Այսպիսով, այն, որ արտահանումը բաց է թողնում բանալիների կապոցի գրառումները, նույն պնդումը չէ, թե արտահանումը անվտանգ է էլ. փոստով ուղարկելու համար; վերաբերվեք արխիվին որպես զգայուն, քանի դեռ չեք թվարկել, թե ինչ կա դրա մեջ։
Բնիկ և կառավարվող VPN-ները արտահանման ուղի չունեն
Համակարգի կարգավորումների միջոցով կազմաձևված կապակցումները չեն առաջարկում աջակցվող արտահանում։ scutil --nc list-ը ցույց է տալիս համակարգին հայտնի ծառայությունները, իսկ scutil --nc show "Work VPN"-ը տպում է մեկ ծառայության կոնֆիգուրացիան, ինչը բավական է դրա սերվերն ու արձանագրությունը կարդալու համար։ Նրանցից ոչ մեկը միգրացիայի գործիք չէ։ /Library/Preferences/SystemConfiguration/preferences.plist-ում պահվող ծառայության նույնացուցիչները հղումներ են այդ ֆայլի ներսում, ուստի ֆայլը պատճենելը և նույնացուցիչները վերաշարադրելը աջակցվող փոխանցում չէ և կարող է խանգարել նպատակակետի անկապ ցանցային ծառայություններին։
Աջակցվող ուղին այն է, ինչ փաստաթղթավորում է Apple-ը: տեղադրեք ադմինիստրատորի տրամադրած VPN կարգավորումների ֆայլը, կամ մուտքագրեք այն կարգավորումները, որոնք օպերատորը տալիս է ձեզ։ Երբ կապակցումը կառավարվում է, խնդրեք նոր ֆայլ կամ նոր գրանցում՝ հին երկխոսության էկրանի պատկերից այն վերակառուցելու փոխարեն։ MDM-ի կողմից մղվող պրոֆիլի համար վկայագրի բեռնվածքը կարող է կրել ինքնությունը, մինչդեռ մասնավոր բանալին գեներացվում է սարքում, և այդ դեպքում նույնիսկ հին պրոֆիլի անթերի պատճենը չի կարող նույնականացնել նոր Mac-ը։
Ստուգեք վերականգնումը՝ ցանկին վստահելու փոխարեն
Ցանկում գտնվող պրոֆիլը և աշխատող թունելը երկու տարբեր վիճակներ են, և դրանցից միայն մեկն արժե հաղորդել։ Ներմուծելուց և միանալուց հետո ստուգեք, որ թունելի միջերեսը գոյություն ունի, ապա ստուգեք, թե ինչ է անում թունելը։
ifconfig | grep -A3 utun-ը ցույց է տալիս թունելի միջերեսը և դրա հասցեները։ scutil --dns | grep nameserver-ը ցույց է տալիս, թե որ լուծիչներն են ակտիվ կապակցումից հետո, և հենց այնտեղ են split-DNS պրոֆիլները սովորաբար տարբերվում։ Ապա հասեք այն ռեսուրսին, որն իսկապես կարևոր է՝ curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com։ Եթե երեքն էլ անցնեն, կարգավորումները, DNS-ը և երթուղիները հասել են; կանաչ պատկերակը հաճախորդում ինքնին դրանցից ոչինչ չի նշանակում։
Երկու ձախողում հաճախ ի հայտ են գալիս ներմուծումից հետո, և երկուսի մեղքն էլ դրվում է ֆայլի վրա։ Հանրային անունների լուծումը, մինչ ներքիններինը՝ ոչ, սովորաբար նշանակում է, որ պրոֆիլի DNS սերվերները թողնվել են կամ split-DNS-ը չի պահպանվել։ Թունելը, որը բարձրանում է և ոչ մի երթևեկություն չի անցկացնում, սովորաբար նշանակում է, որ երթուղիները կամ սերվերի կողմի լիազորումը չեն հետևել պրոֆիլին։ Նույն արխիվի կրկնակի ներմուծումը վերարտադրում է երկուսն էլ։
Նախքան հին Mac-ը թոշակի ուղարկելը
Արտահանումը ջնջելը չեղարկում չէ։ Եթե հին սարքը նույնականացել է վկայագրով, սերվերը դեռ վստահում է այդ վկայագրին, քանի դեռ այն չեղարկվել կամ վերաթողարկվել է։ Եթե այն նույնականացել է ընդհանուր հաշվով, այդ հաշվի սեսիաները կարող են դեռ կենդանի լինել։ Կատարեք սերվերի կողմի քայլը, քանի դեռ սարքավորումը դեռ ձեր առջև է։
Պահեք նոր պրոֆիլը ձեր մյուս հավատարմագրերի հետ, երբ այն պարունակում է բանալի, և գաղտնաբառը մուտքագրեք հաճախորդում, որպեսզի այն հայտնվի նոր բանալիների կապոցում, այլ ոչ թե ֆայլում։ Վերջին ստուգումը: միացեք փոխարինողից, երբ հին Mac-ն անջատված է։ Այն հանձնումը, որն աշխատում է միայն այն դեպքում, երբ աղբյուր մեքենան առցանց է, երբեք ամբողջական չի եղել։