Spostare l’accesso VPN su un nuovo Mac: cosa annotare per primo

La migrazione fallisce in silenzio: la connessione compare nella barra dei menu, il profilo viene importato e l’autenticazione continua a fallire perché il nuovo Mac non è un dispositivo autorizzato. Il vecchio Mac continua a funzionare, il che rende facile rinviare il problema finché la macchina vecchia non c’è più. Un inventario breve prima del passaggio evita quasi tutto. Annota da cosa dipende l’accesso finché puoi ancora leggerlo dalla macchina che funziona.

Inventaria l’accesso mentre il vecchio Mac si connette ancora

Parti dal client e dal protocollo, non dal nome della connessione. Il nome è un’etichetta scelta dal vecchio profilo; la versione del client, il protocollo e l’endpoint sono ciò che la nuova macchina deve riprodurre. Annota anche il nome host esatto dell’endpoint, perché una migrazione del fornitore può spostarlo senza cambiare l’etichetta.

La voce identità è quella che pesa di più. Un nome utente e un codice monouso si possono inserire sul nuovo Mac, un certificato con chiave esportabile a volte si può importare, e un certificato legato al dispositivo con una chiave non esportabile non può essere spostato affatto. Annota quale di questi casi hai prima di pianificare il passaggio. Se due di queste risposte non concordano, risolvi la discrepanza prima di copiare qualsiasi cosa.

Infine, annota il comportamento di rete atteso: tunnel completo o tunnel diviso, quali nomi interni devono risolversi e se IPv6 deve viaggiare dentro il tunnel. Questo diventa i test che decidono se la migrazione ha funzionato.

Separa ciò che si può copiare da ciò che deve essere riemesso

I profili a livello utente, gli indirizzi dei server e le preferenze di solito sono portabili. Le chiavi private, i certificati del dispositivo e i token di registrazione no, perché il loro valore dipende dall’essere legati a una sola macchina. Trattali come elementi da riemettere e chiedi al proprietario il percorso supportato. Tutto il resto si può copiare. Decide il processo del proprietario, non la procedura guidata di migrazione.

Fermati qui se l’identità è legata al dispositivo e non esiste un percorso di riemissione. Continuare con una chiave copiata fallisce all’autenticazione o, peggio, lascia la stessa credenziale attiva su due macchine senza alcuna traccia della seconda.

Non lasciare una chiave privata o un codice di recupero in una nota o in un messaggio di chat durante lo spostamento. Usa il portachiavi, il gestore di password o il processo di deposito dell’organizzazione, e registra di nuovo l’autenticatore invece di copiarne il seme. Una nota di migrazione che contiene una credenziale diventa una seconda copia di quella credenziale.

Prepara il nuovo Mac tramite il percorso supportato

Se il Mac è gestito, iscrivilo nello stesso sistema di gestione prima di aggiungere configurazione manuale. Il sistema di gestione possiede il profilo imposto, e un profilo importato a mano sopra di esso crea due fonti di verità che divergono dopo il successivo cambio di policy.

Su un Mac non gestito, installa il client dal download attuale del fornitore e importa il profilo con il metodo documentato dal fornitore. Le versioni recenti di macOS richiedono l’approvazione per le configurazioni VPN e le estensioni di sistema in Privacy e sicurezza, e un’estensione può richiedere un riavvio prima che il tunnel parta. Apple documenta il percorso di configurazione manuale della VPN se devi confrontarlo con l’app del fornitore.

Rimuovi le definizioni duplicate quando la nuova funziona. Una voce obsoleta nelle impostazioni di Rete e il profilo dell’app possono puntare allo stesso endpoint, e quella che si connette non è sempre quella che credi di aver modificato.

Prova i percorsi che il nuovo Mac userà davvero

Connettiti e conferma che il tunnel trasporta traffico; poi controlla la risoluzione dei nomi e l’instradamento invece di fidarti dell’icona nella barra dei menu. macOS riporta i resolver per interfaccia, quindi il server DNS interno deve comparire sull’interfaccia del tunnel e i nomi interni devono risolversi attraverso di esso. Entrambi i comandi sotto leggono solo lo stato.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Fermati se un nome host interno si risolve in un indirizzo pubblico o se la rotta predefinita punta ancora all’interfaccia fisica quando il progetto prevede un tunnel completo. Entrambi sono segnali che il profilo è stato importato senza le sue rotte o che un’altra configurazione lo sta annullando.

Ripeti il test dopo la sospensione e dopo esserti collegato a un’altra rete. Una connessione che sopravvive al primo accesso ma non alla chiusura del coperchio è una migrazione che fallirà nell’uso quotidiano, e coglierla prima di cancellare il vecchio Mac è lo scopo della lista.

Dismetti il vecchio Mac e revocalo

Tieni il vecchio dispositivo connesso finché il nuovo non supera i test sopra. Poi revoca il vecchio dispositivo dalla console dell’operatore o dal sistema di gestione; eliminare l’app dal vecchio Mac non revoca la sua identità, e un profilo copiato può ancora autenticarsi.

Dopo la revoca, rimuovi i profili, esci dall’account e cancella il disco se la macchina esce dal tuo controllo. Controlla ancora una volta l’elenco dei dispositivi del fornitore per confermare che la vecchia voce sia sparita e che la nuova sia etichettata correttamente.

Se durante lo spostamento è stato copiato un segreto condiviso o una credenziale di team, ruotala subito invece di aspettare il prossimo cambio programmato. La migrazione è finita quando la vecchia identità è morta, non quando la nuova icona diventa verde.