Што содржи Mac VPN извозот и што остава зад себе
Mac VPN извозот носи поставки и понекогаш приватен клуч, но не лозинката од приврзокот со клучеви или регистрацијата на уредот. Прво проверете го секој дел.
Кликнете Export во Mac VPN клиент и добивате датотека што опишува врска без самата да биде врска. Адресата на серверот, портата, протоколот и често сертификатите се внатре. Лозинката за најава, лозинката на приватниот клуч и регистрацијата што го овластува токму овој Mac обично не. Затоа профилот може чисто да се увезе, да се појави во списокот на клиентот и сепак да не успее при првото барање за автентикација; јазот е својство на форматот, не оштетено преземање.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Што всушност содржи извезената датотека
Извозот е контејнер, и наставката на датотеката кажува помалку од содржината. OpenVPN профилите се текст: директиви плус опционални вградени блокови <ca>, <cert> и <key>. Поставките на Tunnelblick се компресирани архиви од конфигурации и поставки. Управуван .mobileconfig е plist од носиви товари. Две списоци одговараат на најголемиот дел од прашањето пред да увезете нешто.
За текстуален профил пребројте ги PEM блоковите што ги носи: grep -c "PRIVATE KEY" your-profile.ovpn. Резултат различен од нула значи датотеката содржи клучен материјал и од тој момент мора да се третира како лозинка. За архив наведете го без распакување: tar -tf export.tbz, или unzip -l export.zip ако клиентот направил zip. Клучните датотеки, датотеките со сертификати и скриптите за подигнување или спуштање во тој список се деловите што повторното издавање на корисничка сметка нема да ги создаде повторно.
Спротивниот случај е исто толку важен. Кога профилот покажува на клуч по име на датотека наместо да го вгради, извозот намерно е нецелосен и половината што недостасува мора да дојде од оној што го издал. Копирање на таа датотека покрај него е во ред кога ја поседувате сертификациската власт; не е во ред кога датотеката дошла со сертификат врзан за уредот што е генериран на стариот Mac.
Зошто половината од приврзокот со клучеви никогаш не патува
macOS ги чува VPN лозинките и лозинките на клучевите во приврзокот за најава, и клиентите ги чуваат таму наместо во сопствените датотеки со поставки. Tunnelblick го кажува тоа во својот водич за извоз и увоз: архивот со поставки носи конфигурации и поставки и ги остава надвор корисничките имиња, лозинките и лозинките на клучевите чувани во приврзокот. Изоставувањето е намерно. Ставките на приврзокот се заштитени по корисник и по машина, така што копирана ставка нема валидна контрола на пристап на одредиштето, што остава или бескорисна датотека или тајна во чист текст.
Можете да потврдите каде живее акредитивот пред да го планирате преместувањето. security find-internet-password -s vpn.example.com печати атрибути за соодветна ставка и завршува со код различен од нула кога ја нема; истата команда со -g би барала откривање на лозинката, затоа барањето без неа е побезбедна проверка. Наод таму значи профилот не ја носи лозинката и не може да биде принуден да го прави тоа. Тоа исто така значи дека лозинката повторно ќе биде побарана на новиот Mac, а дозволата «Секогаш дозволи» на стариот таму не значи ништо.
Сепак не секоја тајна е ставка на приврзокот. Сопствената документација на пакетот Tunnelblick забележува дека пакетот може да содржи клучни, сертификатни и скриптни датотеки. Затоа тоа што извозот ги исклучува ставките на приврзокот не е исто тврдење како тоа дека извозот е безбеден за испраќање по е-пошта; третирајте го архивот како чувствителен додека не наведете што има во него.
Вградените и управуваните VPN немаат извозна патека
Врските конфигурирани преку Системски поставки не нудат поддржан извоз. scutil --nc list ги прикажува услугите што системот ги знае, а scutil --nc show "Work VPN" печати конфигурација на една услуга, доволно за да се прочитаат нејзиниот сервер и протокол. Ниедно не е алатка за миграција. Идентификаторите на услуги чувани во /Library/Preferences/SystemConfiguration/preferences.plist се референци во таа датотека, така што копирањето на датотеката и препишувањето идентификатори не е поддржан пренос и може да ги наруши неповрзаните мрежни услуги на одредиштето.
Поддржаната патека е онаа што Apple ја документира: инсталирајте датотека со VPN поставки обезбедена од администратор, или внесете ги поставките што операторот ви ги дава. Кога врската е управувана, побарајте нова датотека или нова регистрација наместо да ја преизградите од екранска слика на стариот дијалог. За профил што го турка MDM, носивиот товар на сертификатот може да го носи идентитетот додека приватниот клуч се генерира на уредот, и во тој случај дури и беспрекорна копија од стариот профил не може да го автентицира новиот Mac.
Проверете го враќањето наместо да му верувате на списокот
Профил во списокот и тунел што работи се две различни состојби, и само една од нив вреди да се пријави. По увозот и поврзувањето, проверете дали постои интерфејсот на тунелот, потоа проверете што прави тунелот.
ifconfig | grep -A3 utun го прикажува интерфејсот на тунелот и неговите адреси. scutil --dns | grep nameserver прикажува кои резолвери се активни по врската, и токму таму split-DNS профилите обично се разидуваат. Потоа стигнете до ресурсот што навистина е важен: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ако сите три поминат, поставките, DNS и рутите пристигнаа; зелена икона во клиентот сама по себе не значи ништо од тоа.
Два неуспеси често се појавуваат по увоз и двата му се препишуваат на датотеката. Јавните имиња да се решаваат, а внатрешните не, обично значи дека DNS серверите на профилот биле испуштени или split-DNS не бил зачуван. Тунел што ќе се подигне и не пропушта сообраќај обично значи дека рутите или авторизацијата на серверската страна не го следеле профилот. Повторниот увоз на истиот архив ги репродуцира и двете.
Пред да го пензионирате стариот Mac
Бришењето на извозот не е отповикување. Ако стариот уред се автентицирал со сертификат, серверот се уште му верува на тој сертификат додека не биде отповикан или повторно издаден. Ако се автентицирал со споделена сметка, сесиите на таа сметка може да се уште живи. Направете го чекорот на серверската страна додека хардверот е уште пред вас.
Чувајте го новиот профил со другите акредитиви кога содржи клуч, и внесете ја лозинката во клиентот за да заврши во новиот приврзок со клучеви, а не во датотека. Последна проверка: поврзете се од замената додека стариот Mac е исклучен. Предавање што работи само додека изворната машина е онлајн никогаш не било целосно.