Apa yang terkandung dalam ekspor VPN Mac, dan apa yang ditinggalkannya
Ekspor VPN Mac membawa pengaturan dan kadang kunci privat, tetapi bukan kata sandi keychain atau pendaftaran perangkat. Periksa setiap bagian lebih dulu.
Klik Export di klien VPN Mac dan Anda mendapat berkas yang mendeskripsikan koneksi tanpa menjadi koneksi itu sendiri. Alamat server, port, protokol, dan sering kali sertifikatnya ada di dalamnya. Kata sandi login, frasa sandi kunci privat, dan pendaftaran yang mengotorisasi Mac ini biasanya tidak. Karena itu sebuah profil bisa diimpor dengan bersih, muncul di daftar klien, dan tetap gagal pada permintaan autentikasi pertama; celah itu sifat format, bukan unduhan rusak.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Apa yang sebenarnya terkandung dalam berkas yang diekspor
Ekspor adalah wadah, dan ekstensi berkas mengatakan lebih sedikit daripada isinya. Profil OpenVPN adalah teks: direktif, ditambah blok <ca>, <cert>, dan <key> sebaris yang opsional. Penyiapan Tunnelblick adalah arsip terkompresi berisi konfigurasi dan pengaturan. .mobileconfig yang dikelola adalah plist muatan. Dua daftar menjawab sebagian besar pertanyaan sebelum Anda mengimpor apa pun.
Untuk profil teks, hitung blok PEM yang dibawanya: grep -c "PRIVATE KEY" your-profile.ovpn. Hasil bukan nol berarti berkas memuat materi kunci dan harus diperlakukan seperti kata sandi sejak saat itu. Untuk arsip, daftarkan tanpa mengekstrak: tar -tf export.tbz, atau unzip -l export.zip jika klien membuat zip. Berkas kunci, berkas sertifikat, dan skrip naik atau turun dalam daftar itu adalah bagian yang tidak akan dibuat ulang oleh penerbitan ulang akun pengguna.
Kasus sebaliknya sama pentingnya. Ketika profil menunjuk kunci berdasarkan nama berkas alih-alih menyematkannya, ekspor sengaja tidak lengkap dan separuh yang hilang harus datang dari pihak yang menerbitkannya. Menyalin berkas itu di sebelahnya baik-baik saja bila Anda memiliki otoritas sertifikat; tidak baik bila berkas itu datang dengan sertifikat terikat perangkat yang dibuat di Mac lama.
Mengapa separuh keychain tidak pernah ikut berpindah
macOS menyimpan kata sandi VPN dan frasa sandi kunci di keychain login, dan klien menyimpannya di sana alih-alih di berkas pengaturannya sendiri. Tunnelblick menyatakannya di panduan ekspor dan impornya: arsip penyiapan membawa konfigurasi dan pengaturan serta meninggalkan nama pengguna, kata sandi, dan frasa sandi yang disimpan di keychain. Penghilangan itu disengaja. Item keychain dilindungi per pengguna dan per mesin, sehingga item yang disalin tidak memiliki kontrol akses yang sah di tujuan, yang menyisakan entah berkas tak berguna atau rahasia dalam teks biasa.
Anda dapat memastikan di mana kredensial berada sebelum merencanakan pemindahan. security find-internet-password -s vpn.example.com mencetak atribut untuk item yang cocok dan keluar dengan kode bukan nol bila tidak ada; perintah yang sama dengan -g akan meminta pengungkapan kata sandi, karena itu kueri tanpanya adalah pemeriksaan yang lebih aman. Temuan di sana berarti profil tidak membawa kata sandi dan tidak dapat dipaksa membawanya. Itu juga berarti kata sandi akan diminta lagi di Mac baru, dan izin «Selalu izinkan» di Mac lama tidak berarti apa pun di sana.
Namun tidak setiap rahasia adalah item keychain. Dokumentasi paket Tunnelblick sendiri mencatat bahwa paket dapat memuat berkas kunci, sertifikat, dan skrip. Jadi ekspor yang mengecualikan entri keychain bukanlah klaim yang sama dengan ekspor yang aman dikirim lewat email; perlakukan arsip itu sebagai sensitif sampai Anda mendaftar apa isinya.
VPN bawaan dan terkelola tidak punya jalur ekspor
Koneksi yang dikonfigurasi melalui Pengaturan Sistem tidak menawarkan ekspor yang didukung. scutil --nc list menampilkan layanan yang dikenal sistem, dan scutil --nc show "Work VPN" mencetak konfigurasi satu layanan, cukup untuk membaca server dan protokolnya. Keduanya bukan alat migrasi. Pengenal layanan yang disimpan di /Library/Preferences/SystemConfiguration/preferences.plist adalah rujukan ke dalam berkas itu, jadi menyalin berkas dan menulis ulang pengenal bukan transfer yang didukung dan dapat mengganggu layanan jaringan tak terkait di tujuan.
Jalur yang didukung adalah yang didokumentasikan Apple: pasang berkas pengaturan VPN yang disediakan administrator, atau masukkan pengaturan yang diberikan operator kepada Anda. Ketika koneksi dikelola, minta berkas baru atau pendaftaran baru alih-alih membangunnya ulang dari tangkapan layar dialog lama. Untuk profil yang didorong MDM, muatan sertifikat dapat membawa identitas sementara kunci privat dibuat di perangkat, dan dalam hal itu bahkan salinan sempurna profil lama tidak dapat mengautentikasi Mac baru.
Verifikasi pemulihan alih-alih memercayai daftar
Profil di daftar dan terowongan yang berfungsi adalah dua keadaan berbeda, dan hanya satu yang layak dilaporkan. Setelah mengimpor dan menghubungkan, periksa bahwa antarmuka terowongan ada, lalu periksa apa yang dilakukan terowongan.
ifconfig | grep -A3 utun menampilkan antarmuka terowongan dan alamatnya. scutil --dns | grep nameserver menampilkan resolver mana yang aktif setelah koneksi, dan di sanalah profil split-DNS biasanya berbeda. Lalu capai sumber daya yang benar-benar penting: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Jika ketiganya lolos, pengaturan, DNS, dan rute telah tiba; ikon hijau di klien tidak berarti apa pun dari itu dengan sendirinya.
Dua kegagalan sering muncul setelah impor dan keduanya disalahkan pada berkas. Nama publik yang terurai sementara yang internal tidak biasanya berarti server DNS profil terlewat atau split-DNS tidak dipertahankan. Terowongan yang naik dan tidak melewatkan lalu lintas biasanya berarti rute atau otorisasi sisi server tidak mengikuti profil. Mengimpor ulang arsip yang sama mereproduksi keduanya.
Sebelum Anda memensiunkan Mac lama
Menghapus ekspor bukan pencabutan. Jika perangkat lama diautentikasi dengan sertifikat, server masih memercayai sertifikat itu sampai dicabut atau diterbitkan ulang. Jika diautentikasi dengan akun bersama, sesi pada akun itu mungkin masih hidup. Lakukan langkah sisi server selama perangkat kerasnya masih di depan Anda.
Simpan profil baru bersama kredensial Anda yang lain saat berisi kunci, dan ketik kata sandi ke klien agar mendarat di keychain baru alih-alih di berkas. Pemeriksaan terakhir: hubungkan dari pengganti saat Mac lama dimatikan. Penyerahan yang hanya berfungsi selama mesin sumber daring tidak pernah lengkap.