Ko satur Mac VPN eksports un ko tas atstāj aiz sevis

Noklikšķiniet uz Export Mac VPN klientā, un jūs iegūsit failu, kas apraksta savienojumu, pats nebūdams savienojums. Servera adrese, ports, protokols un bieži arī sertifikāti ir tā iekšienē. Pieslēgšanās parole, privātās atslēgas paroles frāze un reģistrācija, kas pilnvaro tieši šo Mac, parasti nav. Tāpēc profils var tikt tīri importēts, parādīties klienta sarakstā un tomēr neizdoties pirmajā autentifikācijas pieprasījumā; šī plaisa ir formāta īpašība, nevis bojāta lejupielāde.

Ko eksportētais fails patiešām satur

Eksports ir konteiners, un faila paplašinājums pasaka mazāk nekā saturs. OpenVPN profili ir teksts: direktīvas plus neobligāti iekļauti <ca>, <cert> un <key> bloki. Tunnelblick iestatījumi ir saspiesti konfigurāciju un iestatījumu arhīvi. Pārvaldīts .mobileconfig ir lietderīgo kravu plist. Divi saraksti atbild uz lielāko daļu jautājuma, pirms kaut ko importējat.

Teksta profilam saskaitiet tā nestos PEM blokus: grep -c "PRIVATE KEY" your-profile.ovpn. Rezultāts, kas nav nulle, nozīmē, ka failā ir atslēgas materiāls un no tā brīža ar to jārīkojas kā ar paroli. Arhīvam uzskaitiet to, neizpakojot: tar -tf export.tbz, vai unzip -l export.zip, ja klients ir izveidojis zip. Tā saraksta atslēgu faili, sertifikātu faili un augšupielādes vai lejupielādes skripti ir daļas, ko lietotāja konta atkārtota izsniegšana neatjaunos.

Pretējais gadījums ir tikpat svarīgs. Kad profils norāda uz atslēgu pēc faila nosaukuma, nevis to iekļauj, eksports ir apzināti nepilnīgs, un trūkstošā puse jānāk no tā, kas to izsniedza. Kopēt šo failu blakus ir pareizi, ja sertifikācijas iestāde pieder jums; tas nav pareizi, ja fails nāca ar ierīcei piesaistītu sertifikātu, kas ģenerēts vecajā Mac.

Kāpēc atslēgu saišķa puse nekad neceļo

macOS glabā VPN paroles un atslēgu paroles frāzes pieteikšanās atslēgu saišķī, un klienti tās glabā tur, nevis savos iestatījumu failos. Tunnelblick to saka savā eksporta un importa rokasgrāmatā: iestatīšanas arhīvs satur konfigurācijas un iestatījumus un atstāj ārpusē lietotājvārdus, paroles un paroles frāzes, kas glabājas atslēgu saišķī. Izlaišana ir apzināta. Atslēgu saišķa vienumi ir aizsargāti katram lietotājam un katrai mašīnai, tāpēc nokopētam vienumam galamērķī nav derīgas piekļuves kontroles, kas atstāj vai nu nederīgu failu, vai nu noslēpumu vienkāršā tekstā.

Pirms pārvietošanas plānošanas varat apstiprināt, kur dzīvo akreditācijas dati. security find-internet-password -s vpn.example.com izdrukā atbilstoša vienuma atribūtus un beidzas ar kodu, kas nav nulle, ja tāda nav; tā pati komanda ar -g pieprasītu atklāt paroli, tāpēc vaicājums bez tās ir drošāka pārbaude. Atradums tur nozīmē, ka profils nenes paroli un to nevar piespiest to darīt. Tas nozīmē arī, ka parole tiks prasīta vēlreiz jaunajā Mac, un vecajā dotā «Vienmēr atļaut» atļauja tur neko nenozīmē.

Tomēr ne katrs noslēpums ir atslēgu saišķa vienums. Paša Tunnelblick pakotnes dokumentācija norāda, ka pakotnē var būt atslēgu, sertifikātu un skriptu faili. Tāpēc tas, ka eksports izlaiž atslēgu saišķa ierakstus, nav tas pats apgalvojums kā tas, ka eksportu ir droši sūtīt pa e-pastu; uzskatiet arhīvu par sensitīvu, līdz esat uzskaitījis, kas tajā ir.

Vietējiem un pārvaldītiem VPN nav eksporta ceļa

Savienojumi, kas konfigurēti sistēmas iestatījumos, nepiedāvā atbalstītu eksportu. scutil --nc list parāda pakalpojumus, ko sistēma pazīst, un scutil --nc show "Work VPN" izdrukā viena pakalpojuma konfigurāciju, ar ko pietiek tā servera un protokola nolasīšanai. Neviens no tiem nav migrācijas rīks. /Library/Preferences/SystemConfiguration/preferences.plist glabātie pakalpojumu identifikatori ir atsauces uz šo failu, tāpēc faila kopēšana un identifikatoru pārrakstīšana nav atbalstīta pārnese un var traucēt nesaistītus tīkla pakalpojumus galamērķī.

Atbalstītais ceļš ir tas, ko dokumentē Apple: instalējiet administratora nodrošinātu VPN iestatījumu failu vai ievadiet iestatījumus, ko jums dod operators. Kad savienojums ir pārvaldīts, lūdziet jaunu failu vai jaunu reģistrāciju, nevis pārbūvējiet to no vecā dialoga ekrānuzņēmuma. Profilam, ko virza MDM, sertifikāta krava var nest identitāti, kamēr privātā atslēga tiek ģenerēta ierīcē, un šajā gadījumā pat nevainojama vecā profila kopija nevar autentificēt jauno Mac.

Pārbaudiet atjaunošanu, nevis uzticieties sarakstam

Profils sarakstā un strādājošs tunelis ir divi dažādi stāvokļi, un tikai viens no tiem ir ziņošanas vērts. Pēc importēšanas un savienošanas pārbaudiet, vai tuneļa saskarne pastāv, un pēc tam pārbaudiet, ko tunelis dara.

ifconfig | grep -A3 utun parāda tuneļa saskarni un tās adreses. scutil --dns | grep nameserver parāda, kuri risinātāji ir aktīvi pēc savienojuma, un tieši tur split-DNS profili parasti atšķiras. Pēc tam sasniedziet resursu, kam patiešām ir nozīme: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ja visi trīs iztur, iestatījumi, DNS un maršruti ir ieradušies; zaļa ikona klientā pati par sevi nenozīmē neko no tā.

Divas kļūmes bieži parādās pēc importa, un abas tiek noveltas uz failu. Tas, ka publiskie nosaukumi tiek atrisināti, bet iekšējie ne, parasti nozīmē, ka profila DNS serveri tika nomesti vai split-DNS netika saglabāts. Tunelis, kas paceļas un nelaiž cauri satiksmi, parasti nozīmē, ka maršruti vai servera puses autorizācija nav sekojuši profilam. Tā paša arhīva atkārtota importēšana atveido abas.

Pirms atbrīvojat veco Mac

Eksporta dzēšana nav atsaukšana. Ja vecā ierīce autentificējās ar sertifikātu, serveris joprojām uzticas šim sertifikātam, līdz tas tiek atsaukts vai atkārtoti izsniegts. Ja tā autentificējās ar koplietotu kontu, sesijas šajā kontā var būt vēl dzīvas. Veiciet servera puses soli, kamēr aparatūra vēl ir jums priekšā.

Glabājiet jauno profilu kopā ar citiem akreditācijas datiem, ja tajā ir atslēga, un ierakstiet paroli klientā, lai tā nonāktu jaunajā atslēgu saišķī, nevis failā. Pēdējā pārbaude: pieslēdzieties no aizvietotāja, kamēr vecais Mac ir izslēgts. Nodošana, kas darbojas tikai tikmēr, kamēr avota mašīna ir tiešsaistē, nekad nav bijusi pilnīga.