რას შეიცავს Mac-ის VPN ექსპორტი და რას ტოვებს უკან
Mac-ის VPN ექსპორტი შეიცავს პარამეტრებს და ზოგჯერ პირად გასაღებს, მაგრამ არა გასაღებების კრების პაროლს ან მოწყობილობის რეგისტრაციას. ჯერ შეამოწმეთ თითოეული ნაწილი.
დააწკაპუნეთ Export Mac-ის VPN კლიენტში და მიიღებთ ფაილს, რომელიც აღწერს კავშირს, თუმცა თავად კავშირი არ არის. სერვერის მისამართი, პორტი, პროტოკოლი და ხშირად სერტიფიკატები მის შიგნით არის. შესვლის პაროლი, პირადი გასაღების პაროლფრაზა და რეგისტრაცია, რომელიც ზუსტად ამ Mac-ს აძლევს უფლებას, ჩვეულებრივ არ არის. ამიტომ პროფილი შეიძლება სუფთად იმპორტირდეს, კლიენტის სიაში გამოჩნდეს და მაინც ჩავარდეს პირველ აუთენტიფიკაციის მოთხოვნაზე; ეს ნაპრალი ფორმატის თვისებაა და არა დაზიანებული ჩამოტვირთვა.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
რას შეიცავს რეალურად ექსპორტირებული ფაილი
ექსპორტი კონტეინერია, და ფაილის გაფართოება შიგთავსზე ნაკლებს ამბობს. OpenVPN პროფილები ტექსტია: ინსტრუქციები, პლუს არასავალდებულო ჩაშენებული <ca>, <cert> და <key> ბლოკები. Tunnelblick-ის პარამეტრები კონფიგურაციებისა და პარამეტრების შეკუმშული არქივებია. მართული .mobileconfig დატვირთვების plist-ია. ორი სია პასუხობს კითხვის უმეტეს ნაწილს, სანამ რამეს იმპორტავთ.
ტექსტური პროფილისთვის დათვალეთ მის მიერ მატარებული PEM ბლოკები: grep -c "PRIVATE KEY" your-profile.ovpn. ნულისგან განსხვავებული შედეგი ნიშნავს, რომ ფაილი შეიცავს გასაღების მასალას და ამ მომენტიდან პაროლივით უნდა მოეპყრათ. არქივისთვის ჩამოთვალეთ ის ამოღების გარეშე: tar -tf export.tbz, ან unzip -l export.zip, თუ კლიენტმა zip შექმნა. ამ სიაში გასაღების ფაილები, სერტიფიკატის ფაილები და ზემოთ ან ქვემოთ სკრიპტები ის ნაწილებია, რომლებსაც მომხმარებლის ანგარიშის ხელახალი გაცემა ხელახლა არ შექმნის.
საპირისპირო შემთხვევა არანაკლებ მნიშვნელოვანია. როცა პროფილი გასაღებს ფაილის სახელით მიუთითებს ჩაშენების ნაცვლად, ექსპორტი განზრახ არასრულია და დაკარგული ნახევარი უნდა მოვიდეს მისგან, ვინც გასცა. ამ ფაილის გვერდით კოპირება კარგია, როცა სერტიფიკატის ორგანო თქვენ გეკუთვნით; არ არის კარგი, როცა ფაილი მოვიდა ძველ Mac-ზე შექმნილ მოწყობილობაზე მიბმულ სერტიფიკატთან ერთად.
რატომ არასდროს მოგზაურობს გასაღებების კრების ნახევარი
macOS VPN-ის პაროლებსა და გასაღების პაროლფრაზებს შესვლის გასაღებების კრებში ინახავს, და კლიენტები მათ იქ ინახავენ და არა საკუთარ პარამეტრების ფაილებში. Tunnelblick ამას თავის ექსპორტისა და იმპორტის სახელმძღვანელოში ამბობს: კონფიგურაციის არქივი ატარებს კონფიგურაციებსა და პარამეტრებს და გარეთ ტოვებს გასაღებების კრებში შენახულ მომხმარებლის სახელებს, პაროლებსა და პაროლფრაზებს. გამოტოვება განზრახ არის. გასაღებების კრების ელემენტები დაცულია თითოეული მომხმარებლისა და თითოეული მანქანისთვის, ამიტომ კოპირებულ ელემენტს დანიშნულების ადგილზე არ აქვს სწორი წვდომის კონტროლი, რაც ტოვებს ან უსარგებლო ფაილს, ან საიდუმლოს ღია ტექსტში.
გადატანის დაგეგმვამდე შეგიძლიათ დაადასტუროთ, სად ცხოვრობს რწმუნება. security find-internet-password -s vpn.example.com ბეჭდავს შესაბამისი ელემენტის ატრიბუტებს და მთავრდება არანულოვანი კოდით, როცა ასეთი არ არის; იგივე ბრძანება -g-ით მოითხოვდა პაროლის გამჟღავნებას, ამიტომ მის გარეშე გამოკითხვა უფრო უსაფრთხო შემოწმებაა. იქ შედეგის პოვნა ნიშნავს, რომ პროფილი პაროლს არ ატარებს და მისი იძულება შეუძლებელია. ეს ასევე ნიშნავს, რომ პაროლი კვლავ მოითხოვება ახალ Mac-ზე, და ძველზე მიცემული «ყოველთვის დაშვება» იქ არაფერს ნიშნავს.
თუმცა ყოველი საიდუმლო გასაღებების კრების ელემენტი არ არის. Tunnelblick-ის საკუთარი პაკეტის დოკუმენტაცია აღნიშნავს, რომ პაკეტი შეიძლება შეიცავდეს გასაღების, სერტიფიკატისა და სკრიპტის ფაილებს. ასე რომ, ის, რომ ექსპორტი გამოტოვებს გასაღებების კრების ჩანაწერებს, არ არის იგივე მტკიცება, რომ ექსპორტი უსაფრთხოა ელფოსტით გასაგზავნად; მოეპყარით არქივს როგორც მგრძნობიარეს, სანამ არ ჩამოთვლით, რა არის მასში.
მშობლიურ და მართულ VPN-ებს ექსპორტის გზა არ აქვთ
სისტემის პარამეტრებით კონფიგურირებული კავშირები მხარდაჭერილ ექსპორტს არ გვთავაზობენ. scutil --nc list აჩვენებს სისტემისთვის ცნობილ სერვისებს, ხოლო scutil --nc show "Work VPN" ბეჭდავს ერთი სერვისის კონფიგურაციას, რაც საკმარისია მისი სერვერისა და პროტოკოლის წასაკითხად. არც ერთი არ არის მიგრაციის ინსტრუმენტი. /Library/Preferences/SystemConfiguration/preferences.plist-ში შენახული სერვისის იდენტიფიკატორები ამ ფაილში შიგნით მითითებებია, ამიტომ ფაილის კოპირება და იდენტიფიკატორების გადაწერა მხარდაჭერილი გადატანა არ არის და შეიძლება ხელი შეუშალოს დანიშნულების ადგილზე დაუკავშირებელ ქსელურ სერვისებს.
მხარდაჭერილი გზა ის არის, რასაც Apple ადოკუმენტირებს: დააინსტალირეთ ადმინისტრატორის მიერ მოწოდებული VPN პარამეტრების ფაილი, ან შეიყვანეთ პარამეტრები, რომლებსაც ოპერატორი მოგცემთ. როცა კავშირი მართულია, მოითხოვეთ ახალი ფაილი ან ახალი რეგისტრაცია ძველი დიალოგის ეკრანის სურათიდან მისი ხელახლა აწყობის ნაცვლად. MDM-ის მიერ გაგზავნილი პროფილისთვის სერტიფიკატის დატვირთვა შეიძლება ატარებდეს იდენტობას, ხოლო პირადი გასაღები მოწყობილობაზე გენერირდება, და ამ შემთხვევაში ძველი პროფილის უნაკლო ასლიც ვერ აუთენტიფიკებს ახალ Mac-ს.
შეამოწმეთ აღდგენა და ნუ დაეყრდნობით სიას
სიაში არსებული პროფილი და მომუშავე გვირაბი ორი განსხვავებული მდგომარეობაა, და მხოლოდ ერთი მათგანი იმსახურებს მოხსენებას. იმპორტისა და დაკავშირების შემდეგ შეამოწმეთ, რომ გვირაბის ინტერფეისი არსებობს, შემდეგ შეამოწმეთ, რას აკეთებს გვირაბი.
ifconfig | grep -A3 utun აჩვენებს გვირაბის ინტერფეისსა და მის მისამართებს. scutil --dns | grep nameserver აჩვენებს, რომელი გადამწყვეტები არიან აქტიური კავშირის შემდეგ, და სწორედ აქ იშლება ჩვეულებრივ split-DNS პროფილები. შემდეგ მიაღწიეთ იმ რესურსს, რომელიც ნამდვილად მნიშვნელოვანია: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. თუ სამივე გაივლის, პარამეტრები, DNS და მარშრუტები ჩამოვიდა; მწვანე ხატულა კლიენტში თავისთავად ამათგან არაფერს ნიშნავს.
ორი მარცხი ხშირად ჩნდება იმპორტის შემდეგ და ორივეს ბრალი ფაილს ეკისრება. საჯარო სახელების გადაწყვეტა, ხოლო შიდა სახელების არა, ჩვეულებრივ ნიშნავს, რომ პროფილის DNS სერვერები გამოტოვებულია ან split-DNS არ შენარჩუნებულა. გვირაბი, რომელიც ადის და ტრაფიკს არ ატარებს, ჩვეულებრივ ნიშნავს, რომ მარშრუტები ან სერვერის მხარის ნებართვა პროფილს არ მიჰყვა. იმავე არქივის ხელახალი იმპორტი ორივეს ამრავლებს.
სანამ ძველ Mac-ს პენსიაზე გააცილებთ
ექსპორტის წაშლა გაუქმება არ არის. თუ ძველი მოწყობილობა სერტიფიკატით აუთენტიფიკაცია, სერვერი კვლავ ენდობა ამ სერტიფიკატს, სანამ ის არ გაუქმდება ან ხელახლა გაიცემა. თუ ის საერთო ანგარიშით აუთენტიფიკაცია, ამ ანგარიშის სესიები შეიძლება ჯერ კიდევ ცოცხალი იყოს. გააკეთეთ სერვერის მხარის ნაბიჯი, სანამ აპარატურა ჯერ კიდევ თქვენს წინაშეა.
შეინახეთ ახალი პროფილი თქვენს სხვა რწმუნებებთან ერთად, როცა ის გასაღებს შეიცავს, და პაროლი აკრიფეთ კლიენტში, რათა ის ახალ გასაღებების კრებში მოხვდეს და არა ფაილში. ბოლო შემოწმება: დაუკავშირდით შემცვლელიდან, როცა ძველი Mac გამორთულია. გადაცემა, რომელიც მხოლოდ მაშინ მუშაობს, როცა წყარო მანქანა ონლაინ არის, არასდროს ყოფილა სრული.