Hvað Mac VPN-útflutningur inniheldur og hvað hann skilur eftir sig

Ýttu á Export í Mac VPN-biðlara og þú færð skrá sem lýsir tengingu án þess að vera tenging. Þjónslóðin, gáttin, samskiptareglan og oft vottorðin eru inni í henni. Innskráningarlykilorðið, lykilsetning einkalykils og skráningin sem heimilar einmitt þennan Mac eru það venjulega ekki. Þess vegna getur snið flust inn hreint, birst í lista biðlarans og samt mistekist við fyrstu auðkenningubeiðni; bilið er eiginleiki sniðsins, ekki skemmt niðurhal.

Hvað útflutta skráin inniheldur í raun

Útflutningur er geymir, og skráarendingin segir minna en innihaldið. OpenVPN-snið eru texti: fyrirmæli, auk valfrjálgra innfelldra <ca>, <cert> og <key>-blokka. Tunnelblick-stillingar eru þjappaðar skrár af stillingum og uppsetningum. Stýrð .mobileconfig er plist af farmi. Tveir listar svara mestum hluta spurningarinnar áður en þú flytur eitthvað inn.

Fyrir textasnið skaltu telja PEM-blokkirnar sem það ber: grep -c "PRIVATE KEY" your-profile.ovpn. Niðurstaða sem er ekki núll þýðir að skráin geymir lykilefni og verður að meðhöndla sem lykilorð frá þeim tíma. Fyrir skrá skaltu lista hana án þess að pakka út: tar -tf export.tbz, eða unzip -l export.zip ef biðlarinn bjó til zip. Lykilskrár, vottorðsskrár og upp- eða niðurskriftir í þeim lista eru hlutarnir sem endurútgáfa notandareiknings mun ekki endurskapa.

Hið gagnstæða mál skiptir jafn miklu. Þegar sniðið vísar á lykil eftir skráarnafni í stað þess að fella hann inn er útflutningurinn viljandi ófullkominn og vantaði helmingurinn verður að koma frá þeim sem gaf hann út. Að afrita þá skrá við hliðina er í lagi þegar þú átt vottorðsstofuna; það er ekki í lagi þegar skráin kom með tækjabundnu vottorði sem var búið til á gamla Macnum.

Hvers vegna helmingur lykilhringsins ferðast aldrei

macOS geymir VPN-lykilorð og lykilsetningar lykla í innskráningarlykilhringnum, og biðlarar geyma þau þar í stað þess að hafa þau í eigin stillingaskrám. Tunnelblick segir þetta í útflutnings- og innflutningsleiðbeiningum sínum: uppsetningarskráin ber stillingar og uppsetningar og sleppir notendanöfnum, lykilorðum og lykilsetningum sem geymd eru í lykilhringnum. Útskilnaðurinn er viljandi. Lykilhringshlutir eru varðir fyrir hvern notanda og hverja vél, svo afritaður hlutur hefur ekkert gilt aðgangsstýringu á áfangastað, sem skilur eftir annaðhvort gagnslausa skrá eða leyndarmál í hreinu texta.

Þú getur staðfest hvar skírteinin liggja áður en þú skipuleggur flutninginn. security find-internet-password -s vpn.example.com prentar eigindir fyrir samsvarandi hlut og endar með kóða sem er ekki núll þegar enginn er til; sama skipun með -g myndi biðja um að afhjúpa lykilorðið, þess vegna er fyrirspurnin án hennar öruggari athugunin. Skrá þar þýðir að sniðið ber ekki lykilorðið og er ekki hægt að þvinga það til þess. Það þýðir líka að lykilorðið verður beðið um aftur á nýja Macnum, og «Leyfa alltaf»-heimild á gamla vélinni gildir ekki þar.

Ekki er hvert leyndarmál lykilhringshlutur þó. Eigin pakkaskjöl Tunnelblick taka fram að pakki geti innihaldið lykil-, vottorðs- og skriftuskrár. Þannig að sú staðreynd að útflutningurinn sleppir lykilhringsfærslum er ekki sama fullyrðing og að útflutningurinn sé öruggur í tölvupósti; meðhöndlaðu skrána sem viðkvæma þar til þú hefur listað hvað er í henni.

Innbyggð og stýrð VPN hafa enga útflutningsleið

Tengingar sem eru stilltar í Kerfisstillingum bjóða enga studda útflutning. scutil --nc list sýnir þjónusturnar sem kerfið þekkir, og scutil --nc show "Work VPN" prentar stillingu einnar þjónustu, nóg til að lesa þjóninn og samskiptaregluna. Hvorugt er flutningsverkfæri. Þjónustuaðkennin sem geymd eru í /Library/Preferences/SystemConfiguration/preferences.plist eru tilvísanir inn í þá skrá, svo að afrita skrána og endurskrifa aðkenni er ekki studd flutningur og getur truflað ótengdar netþjónustur á áfangastað.

Studda leiðin er sú sem Apple skjalfestir: settu upp VPN-stillingaskrá sem stjórnandi útvegar, eða sláðu inn stillingarnar sem rekstraraðilinn gefur þér. Þegar tengingin er stýrð skaltu biðja um nýja skrá eða nýja skráningu í stað þess að endurbyggja hana úr skjáskoti af gamla glugganum. Fyrir snið sem MDM ýtir á getur vottorðsfarmurinn borið auðkennið á meðan einkalykillinn er búinn til í tækinu, og í því tilfelli getur jafnvel gallalaus afrit af gamla sniðinu ekki auðkennt nýja Macinn.

Staðfestu endurheimtina í stað þess að treysta listanum

Snið í listanum og gangvirkt göng eru tvö ólík ástand, og aðeins annað þeirra er þess virði að tilkynna. Eftir innflutning og tengingu skaltu athuga að göngviðmótið sé til, og athuga svo hvað göngin gera.

ifconfig | grep -A3 utun sýnir göngviðmótið og vistföng þess. scutil --dns | grep nameserver sýnir hvaða leysarar eru virkir eftir tenginguna, og þar er það sem split-DNS-snið fara yfirleitt sundur. Náðu svo í auðlindina sem skiptir raunverulega máli: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ef allir þrír standast hefur stillingum, DNS og leiðum verið komið; grænt tákn í biðlaranum þýðir ekkert af þessu eitt og sér.

Tvö mistök birtast oft eftir innflutning og bæði er kennt um skránni. Að opinber nöfn leysist en innri ekki þýðir venjulega að DNS-þjónar sniðsins hafi fallið út eða split-DNS hafi ekki varðveist. Göng sem koma upp og leiða engan umferð þýðir venjulega að leiðir eða heimild á þjónshlið hafi ekki fylgt sniðinu. Að flytja sama skrána inn aftur framleiðir bæði.

Áður en þú lætur gamla Macinn frá þér

Að eyða útflutningnum er ekki afturköllun. Ef gamla tækið auðkenndi sig með vottorði treystir þjónninn því vottorði enn þar til það er afturkallað eða endurútgefið. Ef það auðkenndi sig með sameiginlegum reikningi geta lotur á þeim reikningi verið enn lifandi. Gerðu skrefið á þjónshlið á meðan vélbúnaðurinn er enn fyrir framan þig.

Geymdu nýja sniðið með öðrum skírteinum þínum þegar það inniheldur lykil, og sláðu lykilorðið inn í biðlarann svo það lenti í nýja lykilhringnum í stað skrár. Síðasta athugun: tengdu frá staðgenglinum með gamla Macinn slökktan. Yfirfærsla sem virkar aðeins á meðan upprunavélin er á netinu var aldrei fullkomin.