Wat en Mac VPN-Export enthält, a wat en hannerléisst
En Mac VPN-Export dréit Astellungen an heiansdo en private Schlëssel, awer net d’Keychain-Passwuert oder d’Geräteregistratioun. Kontrolléiert all Deel als éischt.
Klickt op Export an engem Mac VPN-Client an Dir kritt eng Datei, déi eng Verbindung beschreift ouni eng ze sinn. Serveradress, Port, Protokoll an dacks d’Zertifikater sinn dobannen. D’Umellpasswuert, d’Passphras vun engem private Schlëssel an d’Registratioun, déi genau dësen Mac autoriséiert, sinn normalerweis net. Dofir kann e Profil propper importéiert ginn, an der Clientlëscht optrieden an trotzdem beim éischten Authentifikatiounsufro fehlschloen; d’Lück ass eng Eegeschaft vum Format, net en beschiedegten Download.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Wat déi exportéiert Datei tatsächlech enthält
En Export ass e Container, an d’Dateierweiderung seet manner wéi den Inhalt. OpenVPN-Profiller sinn Text: Direktiven, plus optional Inline-<ca>, <cert> an <key>-Bléck. Tunnelblick-Astellungen si kompriméiert Archiver vu Konfiguratiounen an Astellungen. En administréierte .mobileconfig ass eng Plist vu Bäiträg. Zwou Lëschten äntweren de gréissten Deel vun der Fro, ier Dir eppes importéiert.
Fir en Textprofill zielt d’PEM-Bléck, déi en dréit: grep -c "PRIVATE KEY" your-profile.ovpn. En Resultat deen net Null ass bedeit, datt d’Datei Schlësselmaterial enthält an vun deem Moment u wéi e Passwuert behandelt musst ginn. Fir en Archiv lëscht et ouni et auszepaken: tar -tf export.tbz, oder unzip -l export.zip, wann de Client en Zip gemaach huet. Schlësseldateien, Zertifikatsdateien an Op- oder Of-Skripten an där Lëscht sinn déi Deeler, déi eng Neiausstellung vun engem Benotzerkont net nei schaafen.
De Géigendeel ass grad esou wichteg. Wann de Profil op e Schlëssel nom Dateinumm weist, amplaz en anzebauen, ass den Export bewosst onkomplett an déi fehlend Hallschent muss vun dee kommen, deen en ausgestallt huet. Dës Datei dernieft ze kopéieren ass richteg, wann Dir d’Zertifizéierungsautoritéit besëtzt; et ass net richteg, wann d’Datei mat engem gerätergebonnenen Zertifikat komm ass, dee op dem ale Mac generéiert gouf.
Firwat d’Halschent vum Keychain ni matreest
macOS hält VPN-Passwierder a Schlësselpassphrasen am Login-Keychain, an d’Cliente späicheren se do amplaz an hiren eegenen Astellungsdateien. Tunnelblick seet dat an sengem Export- an Importguide: den Astellungsarchiv dréit Konfiguratiounen an Astellungen an léisst d’Benotzernimm, d’Passwierder an d’Passphrasen aus, déi am Keychain gehal ginn. D’Wegloosse ass bewosst. Keychain-Elementer si pro Benotzer a pro Maschinn geschützt, sou datt e kopéiert Element um Zil keng gülteg Zougangskontroll huet, wat entweder eng nëtzlos Datei oder e Geheimnis a kloerem Text hannerléisst.
Dir kënnt bestätegen, wou den Accès wunnt, ier Dir den Ëmzug plangt. security find-internet-password -s vpn.example.com dréckt Attributer fir en entspriechend Element aus an endet mat engem net-Null Code, wann et keen gëtt; dee selwechte Befehl mat -g géif froen, d’Passwuert ze verroden, dofir ass d’Ufro ouni dat déi méi sécher Kontroll. En Treffer dobaussen heescht, datt de Profil d’Passwuert net dréit a net dozou gezwonge ka ginn. Et heescht och, datt d’Passwuert um neie Mac nees gefrot gëtt, an eng «Ëmmer erlaben»-Autorisatioun um ale gëllt do näischt.
Net all Geheimnis ass awer en Keychain-Element. Dem Tunnelblick seng eegen Paketdokumentatioun bemierkt, datt e Pak Schlëssel-, Zertifikats- a Skriptdateien enthalen kann. Dofir ass den Export, deen Keychain-Andräg ausléisst, net déiselwecht Behauptung wéi datt den Export sécher ass fir per E-Mail ze schécken; behandelt den Archiv als sensibel, bis Dir opgelëscht hutt, wat dra sëtzt.
Native an administréiert VPNen hunn keen Exportwee
Verbindungen, déi iwwer Systemastellungen konfiguréiert sinn, bidden keen ënnerstëtzten Export. scutil --nc list weist d’Servicer, déi de System kennt, an scutil --nc show "Work VPN" dréckt d’Konfiguratioun vun engem Service aus, genuch fir säi Server a säi Protokoll ze liesen. Keng vun deenen zwee ass en Migratiounsinstrument. D’Service-Identifikatoren, déi an /Library/Preferences/SystemConfiguration/preferences.plist gespäichert sinn, si Referenzen an déi Datei, dofir ass d’Datei kopéieren an d’Identifikatoren ëmschreiwen keen ënnerstëtzten Transfert a kann onverbonne Netzwierkservicer um Zil stéieren.
Den ënnerstëtzte Wee ass deen, den Apple dokumentéiert: installéiert eng VPN-Astellungsdatei, déi en Administrateur geliwwert huet, oder gitt d’Astellungen an, déi den Operateur Iech gëtt. Wann d’Verbindung administréiert ass, frot eng frësch Datei oder eng frësch Registratioun, amplaz se aus engem Screenshot vum alen Dialog nei opzebauen. Fir e Profil, deen MDM dréckt, kann d’Zertifikatsbäitrag d’Identitéit droen, wärend de private Schlëssel um Gerät generéiert gëtt, an an deem Fall kann och eng fehlerfräi Kopie vum ale Profil den neie Mac net authentifizéieren.
Verifizéiert d’Restauratioun amplaz der Lëscht ze vertrauen
E Profil an der Lëscht an en funktionéierende Tunnel sinn zwee verschidde Zoustänn, an nëmmen ee vun deenen zwee ass et wäert ze mellen. Nodeems Dir importéiert an verbonne sidd, kontrolléiert, datt d’Tunnelinterface existéiert, a kontrolléiert dann, wat den Tunnel mécht.
ifconfig | grep -A3 utun weist d’Tunnelinterface an seng Adressen. scutil --dns | grep nameserver weist, wéi Resolver no der Verbindung aktiv sinn, an do divergéiere Split-DNS-Profiller normalerweis. Erreecht dann d’Ressource, déi wierklech wichteg ass: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Wann all dräi duerchginn, sinn Astellungen, DNS an Trajets ukomm; e gréngen Ikon am Client bedeit dovun näischt vu sech aus.
Zwee Feeler erschéngen dacks no engem Import an alleb zwee gëtt d’Datei d’Schold ginn. Datt ëffentlech Nimm sech opléisen, intern awer net, bedeit normalerweis, datt d’DNS-Server vum Profil ewechgefall sinn oder Split-DNS net behale gouf. En Tunnel, deen eropkënnt an keen Trafik duerchléisst, bedeit normalerweis, datt Trajets oder d’Autorisatioun op der Serversäit dem Profil net gefollegt sinn. Dee selwechten Archiv nach eng Kéier importéieren reproduzéiert béides.
Ier Dir den ale Mac an d’Pensioun schéckt
Den Export läschen ass keng Widderruffung. Wann dat aalt Gerät sech mat engem Zertifikat authentifizéiert huet, vertraut de Server deem Zertifikat nach, bis et widderruff oder nei ausgestallt gëtt. Wann et sech mat engem gedeelte Kont authentifizéiert huet, kënnen d’Sessiounen op deem Kont nach lieweg sinn. Maacht de Schrëtt op der Serversäit, wärend d’Hardware nach virun Iech steet.
Späichert den neie Profil mat Ären aneren Accèsen, wann en e Schlëssel enthält, a tippt d’Passwuert an de Client, sou datt et am neie Keychain landt an net an enger Datei. Lescht Kontroll: verbënnt vum Ersatz aus, wärend den ale Mac ausgeschalt ass. Eng Iwwergabe, déi nëmmen funktionéiert, soulaang d’Quellmaschinn online ass, war ni komplett.