VPN-Zougang op en neien Mac ëmzéien: wat een als éischt festhält

D'Migratioun schléit roueg fehl: d'Verbindung erschéngt an der Menübalk, de Profil gëtt importéiert, an d'Authentifikatioun schléit trotzdem fehl, well den neien Mac keen autoriséierten Apparat ass. Den ale Mac schafft weider, wat de Feeler liicht op d'Spéit verleeë léisst, bis den ale Rechner fort ass. En kurzen Inventar virum Wiessel verhënnert dat meescht dovun. Schreift op, wouvun den Zougang ofhänkt, soulaang dir et nach um schaffenden Rechner ofliese kënnt.

Den Zougang inventariséieren, soulaang den ale Mac nach verbënnt

Fänkt beim Client an beim Protokoll un, net beim Verbindungsnumm. Den Numm ass en Etikett, deen den ale Profil gewielt huet; d'Client-Versioun, d'Protokoll an den Endpunkt muss den neie Rechner nogebauen. Notéiert och de genauen Hostnumm vum Endpunkt, well eng Provider-Migratioun en ka verréckelen, ouni den Etikett ze änneren.

Den Identitéits-Agang weit am schwéiersten. E Benotzernumm an en Eenmol-Code kënnen um neien Mac agefouert ginn, en Zertifikat mat exportéierbarem Schlëssel ka manchmol importéiert ginn, an en apparatgebonnenen Zertifikat mat net-exportéierbarem Schlëssel ka guer net mat. Hält fest, wéi ee Fall virläit, ier dir den Iwwergang plangt. Wann zwee vun dësen Äntwerten sech widerspriechen, léist de Widdersproch, ier dir eppes kopéiert.

Notéiert schlussendlech dat erwaartet Netzwierkverhalen: Volltunnel oder Split-Tunnel, wéi eng intern Nimm opgeléist musse ginn, an ob IPv6 am Tunnel erwaart gëtt. Doraus ginn d'Tester, déi decidéieren, ob d'Migratioun geklappt huet.

Trennen, wat kopéiert kaa ginn, vun deem, wat nei ausgestallt muss ginn

Profiler op Benotzerniveau, Serveradressen an Astellunge sinn meeschtens iwwerdrobar. Privat Schlësselen, Apparatzertifikater an Enrollment-Token sinn et net, well hire Wäert un eng eenzeg Maschinn gebonnen ass. Behandelt déi als Posten, déi nei ausgestallt musse ginn, a frot den Eegentumer no dem ënnerstëtzten Wee. Alles anescht kaa kopéiert ginn. Den Prozess vum Eegentumer decidéiert, net den Migratiouns-Assistent.

Hält hei un, wann d'Identitéit apparatgebonnen ass an et keng Rees fir d'Neiausstellung gëtt. Mat engem kopéierte Schlëssel weiderzemaachen, schléit entweder bei der Authentifikatioun fehl oder, méi schlëmm, léisst déiselwecht Berechtegung op zwou Maschinnen aktiv, ouni eng Spuer vun der zweeter.

Leet wärend dem Ëmzuch keen private Schlëssel an kee Recuperatiounscode an enger Notiz oder enger Chat-Noriicht of. Benotzt de Schlësselbund, de Passwuertmanager oder den Escrow-Prozess vun der Organisatioun, a registréiert den Authenticator nei, amplaz seng Seed ze kopéieren. Eng Migratiounsnotiz mat enger Berechtegung gëtt eng zweet Kopie vun där Berechtegung.

Den neien Mac iwwer den ënnerstëtzten Wee ariichten

Wann de Mac geréiert ass, mellt en am selwechte Managementsystem un, ier dir manuell Konfiguratioun dobäi setzt. D'Managementsystem besëtzt deen duerchgesaten Profil, an en handimportéierte Profil drop schaaft zwou Quelle vun Wourecht, déi no der nächster Richtlinnänderung ausernee lafen.

Op engem net geréierte Mac installéiert de Client aus dem aktuellen Download vum Hiersteller an importéiert de Profil iwwer d'Methode, déi den Hiersteller dokumentéiert. Méi rezent macOS-Versiounen verlaangen ënnert Dateschutz a Sécherheet eng Genehmegung fir VPN-Konfiguratiounen a Systemerweiderungen, an eng Erweiderung brauch heiansdo en Neistart, ier den Tunnel ka starten. Apple beschreift den manuellen VPN-Astellwee wann dir en mat der Hiersteller-App wëllt vergläichen.

Entfernt duebel Definitiounen, soubal déi nei funktionéiert. En alen Agang an den Netzwierkastellungen an de eigene Profil vun der App kënnen allebéid op deen selwen Endpunkt weisen, an deen, deen sech verbënnt, ass net ëmmer deen, vun deem dir mengt, dir hätt en editéiert.

D'Weeër testen, déi den neien Mac tatsächlech benotzt

Verbindt a bestätegt, dass den Tunnel Verkéier dréit, a kontrolléiert duerno d'Nummopleesung an d'Routing, amplaz dem Ikon an der Menübalk ze vertrauen. macOS mëscht Resolver pro Interface, also sollt den interne DNS-Server fir den Tunnelinterface erschéngen, an intern Nimm sollten driwwer opgeléist ginn. Béid Befehler hei drënner liesen nëmmen den Zoustand.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Hält un, wann en internen Hostnumm op eng ëffentlech Adress opgeléist, oder wann d'Standardroute nach op de physeschen Interface weist, wärend den Design e Volltunnel erwaart. Béides sinn Zeechen, dass de Profil ouni seng Routen importéiert gouf oder dass eng aner Konfiguratioun en iwwerschreift.

Widderhuelt den Test nom Schlof an nom Wiessele vun engem aneren Netz. Eng Verbindung, déi déi éischt Umeldung iwwerlieft, awer net d'Zoumaache vum Deckel ass eng Migratioun, déi am Alldag wäert scheiteren, an dat ze fänken, ier den ale Mac geläscht gëtt, ass den Zweck vun der Checklist.

Den ale Mac aus dem Betrib huelen an zréckzéien

Hält den alen Apparat verbonnen, bis den neien déi Tester uewen besteet. Zitt duerno den alen Apparat iwwer d'Konsole vum Betreiber oder d'Managementsystem zréck; d'App vum ale Mac ze läschen zitt seng Identitéit net zréck, an e kopéierte Profil ka sech nach ëmmer authentifizéieren.

Entfernt no dem Zréckzéien d'Profiler, mellt iech vum Kont of a läscht d'Plack, wann de Rechner Är Kontroll verléisst. Kontrolléiert d'Apparatelëscht vum Hiersteller nach eng Kéier, fir ze bestätegen, dass den alen Agang fort ass an den neien richteg beschëft gëtt.

Wann wärend dem Ëmzuch e gedeelt Geheimnis oder eng Team-Berechtegung kopéiert gouf, rotéiert se elo, amplaz op déi nächst geplangte Ännerung ze waarden. D'Migratioun ass fäerdeg, wann déi al Identitéit dout ass, net wann den neien Ikon gréng gëtt.