Mac VPN экспортында не бар және ол нені артта қалдырады
Mac VPN экспорты параметрлерді және кейде жеке кілтті қамтиды, бірақ кілттер шоғырының құпиясөзін немесе құрылғы тіркелімін қамтымайды. Алдымен әр бөлікті тексеріңіз.
Mac VPN клиентінде Export түймесін басыңыз, сонда байланысты сипаттайтын, бірақ өзі байланыс болып табылмайтын файл аласыз. Сервер мекенжайы, порт, протокол және жиі сертификаттар оның ішінде болады. Кіру құпиясөзі, жеке кілттің құпиясөз фразасы және дәл осы Mac-қа рұқсат беретін тіркелім әдетте жоқ. Сондықтан профиль таза импортталып, клиент тізімінде көрініп, бәрібір бірінші аутентификация сұранысында сәтсіз аяқталуы мүмкін; бұл алшақтық форматтың қасиеті, бүлінген жүктеу емес.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Экспортталған файл шын мәнінде нені қамтиды
Экспорт — контейнер, және файл кеңейтімі мазмұннан аз айтады. OpenVPN профильдері мәтін: нұсқаулар, қосымша кірістірілген <ca>, <cert> және <key> блоктары. Tunnelblick баптаулары конфигурациялар мен баптаулардың сығылған мұрағаттары. Басқарылатын .mobileconfig — пайдалы жүктемелердің plist-і. Екі тізім кез келген нәрсені импорттамас бұрын сұрақтың көбіне жауап береді.
Мәтіндік профиль үшін ол алып жүретін PEM блоктарын санаңыз: grep -c "PRIVATE KEY" your-profile.ovpn. Нөлден өзгеше нәтиже файлда кілт материалы бар екенін және сол сәттен бастап оны құпиясөз ретінде ұстау керектігін білдіреді. Мұрағат үшін оны ашпай тізімдеңіз: tar -tf export.tbz, немесе unzip -l export.zip, егер клиент zip жасаса. Сол тізімдегі кілт файлдары, сертификат файлдары және жоғары немесе төмен скрипттер пайдаланушы тіркелгісін қайта беру қайта жасамайтын бөліктер.
Қарама-қарсы жағдай да сондай маңызды. Профиль кілтті кірістірудің орнына файл атымен көрсетсе, экспорт әдейі толық емес және жетіспейтін жартысы оны берген тараптан келуі керек. Сертификат органы сіздікі болса, сол файлды қасына көшіруге болады; файл ескі Mac-та жасалған құрылғыға байланған сертификатпен келсе, болмайды.
Неге кілттер шоғырының жартысы ешқашан сапар шекпейді
macOS VPN құпиясөздері мен кілт құпиясөз фразаларын кіру кілттер шоғырында сақтайды, ал клиенттер оларды өз баптау файлдарында емес, сонда сақтайды. Tunnelblick мұны өзінің экспорт және импорт нұсқаулығында айтады: баптау мұрағаты конфигурациялар мен баптауларды алып жүреді және кілттер шоғырында сақталатын пайдаланушы атын, құпиясөздер мен құпиясөз фразаларын тыс қалдырады. Өткізіп жіберу әдейі. Кілттер шоғырының элементтері әр пайдаланушы мен әр машина бойынша қорғалған, сондықтан көшірілген элементтің межелі жерде жарамды қатынау бақылауы жоқ, бұл не пайдасыз файлды, не ашық мәтіндегі құпияны қалдырады.
Көшіруді жоспарламас бұрын тіркелгі деректерінің қайда тұратынын растай аласыз. security find-internet-password -s vpn.example.com сәйкес элементтің атрибуттарын басып шығарады және ешқайсысы болмаса, нөлден өзгеше кодпен шығады; сол пәрмен -g қосылса құпиясөзді ашуды сұрар еді, сондықтан онсыз сұрау қауіпсіз тексеру. Онда табылу профильдің құпиясөзді алып жүрмейтінін және оны мәжбүрлеу мүмкін еместігін білдіреді. Бұл сондай-ақ құпиясөз жаңа Mac-та қайта сұралатынын және ескісінде берілген «Әрқашан рұқсат ету» онда ештеңе білдірмейтінін білдіреді.
Алайда әрбір құпия кілттер шоғырының элементі емес. Tunnelblick-тің өз бума құжаттамасы бумада кілт, сертификат және скрипт файлдары болуы мүмкін екенін атап өтеді. Сондықтан экспорттың кілттер шоғыры жазбаларын тыс қалдыруы экспорттың электрондық поштамен жіберуге қауіпсіз деген тұжырыммен бірдей емес; мұрағатта не бар екенін тізімдегенше оны құпия деп қараңыз.
Жергілікті және басқарылатын VPN-дердің экспорт жолы жоқ
Жүйелік параметрлер арқылы конфигурацияланған байланыстар қолдау көрсетілетін экспортты ұсынбайды. scutil --nc list жүйе білетін қызметтерді көрсетеді, ал scutil --nc show "Work VPN" бір қызметтің конфигурациясын басып шығарады, оның сервері мен протоколын оқуға жетеді. Екеуі де көшіру құралы емес. /Library/Preferences/SystemConfiguration/preferences.plist ішінде сақталған қызмет идентификаторлары сол файлға сілтемелер, сондықтан файлды көшіріп, идентификаторларды қайта жазу қолдау көрсетілетін тасымал емес және межелі жердегі байланыссыз желілік қызметтерге кедергі келтіруі мүмкін.
Қолдау көрсетілетін жол — Apple құжаттайтын жол: әкімші берген VPN баптау файлын орнатыңыз немесе оператор беретін баптауларды енгізіңіз. Байланыс басқарылатын болса, оны ескі диалогтың скриншотынан қайта құрудың орнына жаңа файл немесе жаңа тіркелім сұраңыз. MDM итермелейтін профиль үшін сертификат жүктемесі сәйкестікті алып жүруі мүмкін, ал жеке кілт құрылғыда жасалады, және бұл жағдайда ескі профильдің мінсіз көшірмесі де жаңа Mac-ты аутентификациялай алмайды.
Тізімге сенудің орнына қалпына келтіруді тексеріңіз
Тізімдегі профиль мен жұмыс істеп тұрған туннель — екі түрлі күй, және тек біреуі ғана хабарлауға тұрарлық. Импорттап, қосылғаннан кейін туннель интерфейсінің бар екенін тексеріңіз, содан кейін туннельдің не істеп жатқанын тексеріңіз.
ifconfig | grep -A3 utun туннель интерфейсін және оның мекенжайларын көрсетеді. scutil --dns | grep nameserver қосылғаннан кейін қай шешушілердің белсенді екенін көрсетеді, және split-DNS профильдері әдетте дәл осы жерде ажырайды. Содан кейін шынымен маңызды ресурсқа жетіңіз: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Үшеуі де өтсе, баптаулар, DNS және маршруттар жетті; клиенттегі жасыл белгіше өздігінен олардың ешқайсысын білдірмейді.
Импорттан кейін екі ақау жиі көрінеді және екеуі де файлға жазылады. Жалпы атаулардың шешілуі, ал ішкі атаулардың шешілмеуі әдетте профильдің DNS серверлері тасталып қалғанын немесе split-DNS сақталмағанын білдіреді. Көтеріліп, трафикті өткізбейтін туннель әдетте маршруттар немесе сервер жағындағы рұқсат профильге ілеспегенін білдіреді. Сол мұрағатты қайта импорттау екеуін де қайталайды.
Ескі Mac-ты зейнеткерлікке шығармас бұрын
Экспортты жою — кері қайтарып алу емес. Егер ескі құрылғы сертификатпен аутентификацияланса, сервер сол сертификатқа ол кері қайтарылғанша немесе қайта берілгенше сенеді. Егер ол ортақ тіркелгімен аутентификацияланса, сол тіркелгідегі сессиялар әлі тірі болуы мүмкін. Аппараттық қамтама әлі алдыңызда тұрғанда сервер жағындағы қадамды жасаңыз.
Жаңа профильді кілт қамтыса, басқа тіркелгі деректеріңізбен бірге сақтаңыз, және құпиясөзді клиентке теріңіз, ол файлға емес, жаңа кілттер шоғырына түссін. Соңғы тексеру: ескі Mac өшірулі тұрғанда ауыстырғыштан қосылыңыз. Тек бастапқы машина желіде болғанда ғана жұмыс істейтін тапсыру ешқашан толық болмаған.