Ką talpina Mac VPN eksportas ir ką jis palieka
Mac VPN eksportas neša nustatymus ir kartais privatų raktą, bet ne raktų saugyklos slaptažodį ar įrenginio registraciją. Pirmiausia patikrinkite kiekvieną dalį.
Spustelėkite Export Mac VPN kliente ir gausite failą, aprašantį ryšį, nors pats ryšys tai nėra. Serverio adresas, prievadas, protokolas ir dažnai sertifikatai yra jo viduje. Prisijungimo slaptažodis, privataus rakto slaptafrazė ir registracija, kuri suteikia teisę būtent šiam Mac, paprastai nėra. Todėl profilis gali būti švariai importuotas, atsirasti kliento sąraše ir vis tiek nepavykti pirmos autentifikacijos užklausos metu; šis tarpas yra formato savybė, ne sugadintas atsisiuntimas.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Ką iš tikrųjų talpina eksportuotas failas
Eksportas yra konteineris, ir failo plėtinys pasako mažiau nei turinys. OpenVPN profiliai yra tekstas: direktyvos plius neprivalomi įterpti <ca>, <cert> ir <key> blokai. Tunnelblick nustatymai yra suspausti konfigūracijų ir nustatymų archyvai. Valdomas .mobileconfig yra naudingųjų krovinių plist. Du sąrašai atsako į didžiąją dalį klausimo prieš ką nors importuojant.
Tekstiniam profiliui suskaičiuokite jo nešamus PEM blokus: grep -c "PRIVATE KEY" your-profile.ovpn. Nuo nulio besiskiriantis rezultatas reiškia, kad faile yra raktų medžiagos ir nuo to momento su juo reikia elgtis kaip su slaptažodžiu. Archyvui išvardykite jį neišskleisdami: tar -tf export.tbz, arba unzip -l export.zip, jei klientas sukūrė zip. To sąrašo raktų failai, sertifikatų failai ir įkėlimo arba išėmimo scenarijai yra dalys, kurių pakartotinis vartotojo paskyros išdavimas nesukurs iš naujo.
Priešingas atvejis taip pat svarbus. Kai profilis nurodo raktą failo vardu, o ne jį įterpia, eksportas tyčia nepilnas, ir trūkstamą pusę turi pateikti tas, kas jį išdavė. Kopijuoti tą failą šalia yra gerai, kai sertifikavimo institucija priklauso jums; negerai, kai failas atėjo su prie įrenginio pririštu sertifikatu, sukurtu senajame Mac.
Kodėl raktų saugyklos pusė niekada nekeliauja
macOS laiko VPN slaptažodžius ir raktų slaptafrazes prisijungimo raktų saugykloje, o klientai juos saugo ten, o ne savo nustatymų failuose. Tunnelblick tai nurodo savo eksporto ir importo vadove: sąrankos archyvas neša konfigūracijas ir nustatymus ir palieka už ribų vartotojų vardus, slaptažodžius ir slaptafrazes, laikomas raktų saugykloje. Praleidimas yra tyčinis. Raktų saugyklos elementai apsaugoti pagal vartotoją ir pagal mašiną, todėl nukopijuotas elementas paskirties vietoje neturi galiojančios prieigos kontrolės, o tai palieka arba nenaudingą failą, arba slaptą informaciją atviru tekstu.
Prieš planuodami perkėlimą galite patvirtinti, kur gyvena prisijungimo duomenys. security find-internet-password -s vpn.example.com išspausdina atitinkančio elemento atributus ir baigia nuliniu kodu, kai jo nėra; ta pati komanda su -g prašytų atskleisti slaptažodį, todėl užklausa be jo yra saugesnė patikra. Radimas ten reiškia, kad profilis neneša slaptažodžio ir negali būti priverstas jį nešti. Tai taip pat reiškia, kad slaptažodis bus vėl paprašytas naujajame Mac, o senajame suteiktas «Visada leisti» ten nieko nereiškia.
Tačiau ne kiekviena paslaptis yra raktų saugyklos elementas. Paties Tunnelblick paketo dokumentacija pažymi, kad pakete gali būti raktų, sertifikatų ir scenarijų failų. Taigi tai, kad eksportas neapima raktų saugyklos įrašų, nėra tas pats teiginys kaip tai, kad eksportą saugu siųsti elektroniniu paštu; traktuokite archyvą kaip jautrų, kol neišvardijote, kas jame yra.
Vietiniai ir valdomi VPN neturi eksporto kelio
Ryšiai, sukonfigūruoti per Sistemos nustatymus, nesiūlo palaikomo eksporto. scutil --nc list rodo paslaugas, kurias sistema žino, o scutil --nc show "Work VPN" išspausdina vienos paslaugos konfigūraciją, kurios pakanka jos serveriui ir protokolui perskaityti. Nė viena nėra migracijos priemonė. /Library/Preferences/SystemConfiguration/preferences.plist saugomi paslaugų identifikatoriai yra nuorodos į tą failą, todėl failo kopijavimas ir identifikatorių perrašymas nėra palaikomas perkėlimas ir gali sutrikdyti nesusijusias tinklo paslaugas paskirties vietoje.
Palaikomas kelias yra tas, kurį dokumentuoja Apple: įdiekite administratoriaus pateiktą VPN nustatymų failą arba įveskite nustatymus, kuriuos jums duoda operatorius. Kai ryšys valdomas, prašykite naujo failo arba naujos registracijos, o ne atstatykite jį iš seno dialogo ekrano kopijos. MDM stumiamam profiliui sertifikato krovinys gali nešti tapatybę, o privatus raktas generuojamas įrenginyje, ir tokiu atveju net nepriekaištinga seno profilio kopija negali autentifikuoti naujojo Mac.
Patikrinkite atkūrimą, o ne pasitikėkite sąrašu
Profilis sąraše ir veikiantis tunelis yra dvi skirtingos būsenos, ir tik vieną iš jų verta pranešti. Po importo ir prisijungimo patikrinkite, ar yra tunelio sąsaja, tada patikrinkite, ką tunelis daro.
ifconfig | grep -A3 utun rodo tunelio sąsają ir jos adresus. scutil --dns | grep nameserver rodo, kurie resolveriai aktyvūs po prisijungimo, ir būtent ten split-DNS profiliai paprastai išsiskiria. Tada pasiekite išteklių, kuris tikrai svarbus: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Jei visi trys praeina, nustatymai, DNS ir maršrutai atvyko; žalia piktograma kliente pati savaime nieko iš to nereiškia.
Du gedimai dažnai pasirodo po importo, ir abiem kaltinamas failas. Tai, kad vieši vardai sprendžiami, o vidiniai ne, paprastai reiškia, kad profilio DNS serveriai buvo numesti arba split-DNS nebuvo išsaugotas. Tunelis, kuris pakyla ir nepraleidžia jokio srauto, paprastai reiškia, kad maršrutai arba serverio pusės autorizacija nepasekė profilį. To paties archyvo pakartotinis importas atkuria abu.
Prieš išvesdami senąjį Mac į pensiją
Eksporto ištrynimas nėra atšaukimas. Jei senas įrenginys autentifikavosi sertifikatu, serveris vis dar pasitiki tuo sertifikatu, kol jis bus atšauktas arba išduotas iš naujo. Jei jis autentifikavosi bendra paskyra, tos paskyros sesijos gali būti dar gyvos. Atlikite serverio pusės žingsnį, kol aparatinė įranga dar priešais jus.
Saugokite naują profilį su kitais prisijungimo duomenimis, kai jame yra raktas, ir įveskite slaptažodį į klientą, kad jis atsidurtų naujoje raktų saugykloje, o ne faile. Paskutinė patikra: prisijunkite iš pakaitalo, kai senasis Mac išjungtas. Perdavimas, kuris veikia tik tol, kol šaltinio mašina yra prisijungusi, niekada nebuvo visiškas.