Memindahkan akses VPN ke Mac baru: apa yang dicatat lebih dulu
Nama koneksi yang disalin bukan identitas yang termigrasi. Catat klien, sumber profil, dan jalur otorisasi, lalu siapkan dan uji Mac baru.
Migrasi gagal diam-diam: koneksi muncul di bilah menu, profil diimpor, dan autentikasi tetap gagal karena Mac baru bukan perangkat yang diotorisasi. Mac lama tetap berfungsi, sehingga kegagalan mudah ditunda sampai mesin lama tidak ada. Inventaris singkat sebelum peralihan mencegah sebagian besar hal itu. Catat apa yang menjadi sandaran akses selama Anda masih bisa membacanya dari mesin yang berfungsi.
Inventarisasi akses selama Mac lama masih terhubung
Mulailah dari klien dan protokol, bukan dari nama koneksi. Nama adalah label yang dipilih profil lama; versi klien, protokol, dan endpoint adalah yang harus direproduksi mesin baru. Catat juga nama host persis endpoint, karena migrasi penyedia dapat memindahkannya tanpa mengubah label.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Entri identitas paling berat. Nama pengguna dan kode sekali pakai dapat dimasukkan di Mac baru, sertifikat dengan kunci yang dapat diekspor kadang bisa diimpor, dan sertifikat terikat perangkat dengan kunci yang tidak dapat diekspor sama sekali tidak bisa dipindahkan. Catat kasus mana yang Anda miliki sebelum merencanakan peralihan. Jika dua jawaban itu tidak cocok, selesaikan dulu sebelum menyalin apa pun.
Terakhir, catat perilaku jaringan yang diharapkan: terowongan penuh atau terowongan terpisah, nama internal mana yang harus diselesaikan, dan apakah IPv6 diharapkan berjalan di dalam terowongan. Dari situ akan lahir pengujian yang menentukan berhasil tidaknya migrasi.
Pisahkan yang bisa disalin dari yang harus diterbitkan ulang
Profil tingkat pengguna, alamat server, dan preferensi biasanya dapat dipindahkan. Kunci privat, sertifikat perangkat, dan token pendaftaran tidak, karena nilainya bergantung pada keterikatan ke satu mesin. Perlakukan sebagai item yang harus diterbitkan ulang dan tanyakan jalur yang didukung kepada pemilik. Sisanya dapat disalin. Proses pemilik, bukan wizard migrasi, yang menentukan kategorinya.
Berhenti di sini jika identitas terikat perangkat dan tidak ada jalur penerbitan ulang. Melanjutkan dengan kunci yang disalin entah gagal saat autentikasi atau, lebih buruk, membiarkan kredensial yang sama aktif di dua mesin tanpa catatan tentang yang kedua.
Jangan meninggalkan kunci privat atau kode pemulihan di catatan atau pesan obrolan selama pemindahan. Gunakan keychain, pengelola kata sandi, atau proses escrow organisasi, dan daftarkan ulang pengautentikasi alih-alih menyalin benihnya. Catatan migrasi yang berisi kredensial menjadi salinan kedua kredensial itu.
Siapkan Mac baru melalui jalur yang didukung
Jika Mac dikelola, daftarkan ke sistem manajemen yang sama sebelum menambahkan konfigurasi manual. Sistem manajemen memiliki profil yang diberlakukan, dan profil yang diimpor tangan di atasnya menciptakan dua sumber kebenaran yang berselisih setelah perubahan kebijakan berikutnya.
Pada Mac yang tidak dikelola, pasang klien dari unduhan terbaru penyedia dan impor profil dengan metode yang didokumentasikan penyedia. Versi macOS terbaru meminta persetujuan untuk konfigurasi VPN dan ekstensi sistem di Privasi dan Keamanan, dan ekstensi mungkin perlu mulai ulang sebelum terowongan berjalan. Apple mendokumentasikan jalur penyiapan VPN manual jika Anda perlu membandingkannya dengan aplikasi penyedia.
Hapus definisi ganda setelah yang baru berfungsi. Entri usang di pengaturan Jaringan dan profil aplikasi sendiri dapat menunjuk endpoint yang sama, dan yang terhubung tidak selalu yang Anda kira telah Anda edit.
Uji jalur yang benar-benar akan dipakai Mac baru
Hubungkan dan pastikan terowongan membawa lalu lintas; lalu periksa resolusi nama dan perutean alih-alih memercayai ikon bilah menu. macOS melaporkan resolver per antarmuka, jadi server DNS internal harus muncul pada antarmuka terowongan dan nama internal harus diselesaikan melaluinya. Kedua perintah di bawah hanya membaca status.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Berhenti jika nama host internal diselesaikan ke alamat publik atau jika rute default masih menunjuk antarmuka fisik padahal rancangan mengharapkan terowongan penuh. Keduanya tanda bahwa profil diimpor tanpa rutenya atau ada konfigurasi lain yang menimpanya.
Ulangi pengujian setelah tidur dan setelah bergabung dengan jaringan lain.Koneksi yang bertahan melewati login pertama tetapi tidak melewati penutupan tutup adalah migrasi yang akan gagal dalam pemakaian sehari-hari, dan menangkapnya sebelum Mac lama dihapus adalah inti daftar periksa.
Pensiunkan Mac lama dan cabut otorisasinya
Biarkan perangkat lama tetap terhubung sampai yang baru lulus pengujian di atas. Lalu cabut perangkat lama melalui konsol operator atau sistem manajemen; menghapus aplikasi dari Mac lama tidak mencabut identitasnya, dan profil yang disalin masih dapat diautentikasi.
Setelah pencabutan, hapus profil, keluar dari akun, dan hapus disk jika mesin keluar dari kendali Anda. Periksa daftar perangkat penyedia sekali lagi untuk memastikan entri lama hilang dan yang baru berlabel benar.
Jika rahasia bersama atau kredensial tim disalin selama pemindahan, putar sekarang alih-alih menunggu perubahan terjadwal berikutnya. Migrasi selesai ketika identitas lama mati, bukan ketika ikon baru berubah hijau.