VPN アクセスを新しい Mac に移す：最初に記録しておくこと

移行は静かに失敗します——接続はメニューバーに現れ、プロファイルも読み込まれ、それでも認証が通らないのは、新しい Mac が認可されたデバイスではないからです。古い Mac は動き続けるため、失敗を古いマシンが手元から消えるまで先送りしやすくなります。切り替え前に短い棚卸しをしておけば、そのほとんどを防げます。まだ動いているマシンから読めるうちに、アクセスが何に依存しているかを書き留めてください。

古い Mac がまだ接続できるうちにアクセスを棚卸しする

接続名ではなく、クライアントとプロトコルから始めます。名前は古いプロファイルが付けたラベルにすぎません——新しいマシンが再現すべきは、クライアントのバージョン、プロトコル、エンドポイントです。エンドポイントの正確なホスト名も控えてください——プロバイダーの移行でラベルを変えずに移動することがあります。

もっとも重いのは ID の項目です——ユーザー名とワンタイムコードは新しい Mac で入力できます。エクスポート可能な鍵を持つ証明書はときに読み込めますが、エクスポートできない鍵を持つデバイス束縛の証明書はまったく移せません。切り替えを計画する前に、どれに当たるかを記録してください。二つの答えが食い違うなら、何かをコピーする前に食い違いを解消します。

最後に、想定するネットワークの挙動を記録します——フルトンネルかスプリットトンネルか、どの内部名を解決すべきか、トンネル内で IPv6 を想定するか。これが移行の成否を決めるテストになります。

コピーできるものと、再発行が必要なものを分ける

ユーザーレベルのプロファイル、サーバーアドレス、環境設定はたいてい移せます——秘密鍵、デバイス証明書、登録トークンは移せません。価値が一台のマシンへの束縛に依存しているからです。これらは再発行の対象として扱い、所有者にサポートされる経路を確認してください。それ以外はコピーの候補です。どちらの分類になるかを決めるのは、移行ウィザードではなく所有者の手順です。

ID がデバイス束縛で、再発行の経路がないならここで止まります。コピーした鍵で続行すると、認証で失敗するか、さらに悪いことに、二台目に関する記録がないまま同じ資格情報が二台のマシンで有効なままになります。

移動中に秘密鍵やリカバリーコードをメモやチャットに残さないでください。キーチェーン、パスワードマネージャー、組織のエスクロー手順を使い、認証アプリはシードをコピーするのではなく再登録します。資格情報を含む移行メモは、その資格情報の二つ目の写しになります。

サポートされる経路で新しい Mac を用意する

Mac が管理対象なら、手動の構成を加える前に同じ管理システムへ登録します。管理システムが強制プロファイルを所有しており、その上に手で読み込んだプロファイルは、次のポリシー変更のあとに食い違う二つの正解を作ります。

管理されていない Mac では、ベンダーの現行ダウンロードからクライアントを入れ、ベンダーが文書化している方法でプロファイルを読み込みます。最近の macOS では、VPN 構成とシステム拡張に「プライバシーとセキュリティ」での承認が必要で、拡張によってはトンネルが起動する前に再起動が要ることがあります。Apple は手動の VPN 設定手順 を文書化していますので、ベンダーのアプリと比べたいときに参照してください。

新しい方が動いたら重複した定義を消します。ネットワーク設定の古い項目とアプリ自身のプロファイルが同じエンドポイントを指していることがあり、接続するのは自分が編集したと思う方とは限りません。

新しい Mac が実際に使う経路を検証する

接続してトンネルが通信を運んでいることを確かめ、そのうえでメニューバーのアイコンを信じるのではなく、名前解決と経路を確認します。macOS はリゾルバーをインターフェースごとに報告するので、内部 DNS サーバーはトンネルのインターフェースに現れ、内部名はそれを経由して解決されるはずです。下の二つのコマンドは状態を読むだけです。

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

内部のホスト名が公開アドレスに解決される場合、または設計がフルトンネルを想定しているのに既定ルートが物理インターフェースを指したままなら、ここで止まります。どちらも、プロファイルが経路なしで読み込まれたか、別の構成に上書きされている兆候です。

スリープ後と別のネットワークに接続した後で、同じ検証を繰り返します。最初のログインは越えても、蓋を閉じる操作は越えられない接続 は日常利用で破綻する移行ですから、古い Mac を消す前にそれを見つけることが、チェックリストの目的です。

古い Mac を退役させ、失効させる

新しい方が上の検証を通るまで、古いデバイスは接続したままにし、そのうえで運用者のコンソールか管理システムから失効させます。古い Mac からアプリを消しても ID は失効せず、コピーしたプロファイルはまだ認証を通ります。

失効後はプロファイルを削除し、アカウントからサインアウトし、マシンが手元を離れるならディスクを消去します。プロバイダーのデバイス一覧をもう一度見て、古い項目が消え、新しい項目のラベルが正しいことを確認してください。

移動中に共有シークレットやチームの資格情報をコピーしたなら、次の定期変更を待たずに今すぐローテーションします。移行が終わるのは、古い ID が死んだときであり、新しいアイコンが緑になったときではありません。