Mac VPN экспортод юу байдаг, юу үлддэг
Mac VPN экспорт нь тохиргоо, заримдаа хувийн түлхүүрийг агуулдаг ч түлхүүрийн баглааны нууц үг эсвэл төхөөрөмжийн бүртгэлийг агуулдаггүй. Эхлээд хэсэг бүрийг шалгана уу.
Mac VPN клиент дээр Export дарвал холболтыг дүрсэлсэн боловч өөрөө холболт биш файл авна. Серверийн хаяг, порт, протокол, ихэвчлэн сертификатууд дотор нь байдаг. Нэвтрэх нууц үг, хувийн түлхүүрийн нууц үг хэллэг, яг энэ Mac-д зөвшөөрөл олгох бүртгэл ихэвчлэн байдаггүй. Тиймээс профайл цэвэр импортлогдож, клиентийн жагсаалтад харагдаад, эхний баталгаажуулалтын хүсэлтэд бүртгэгдэхгүй байж болно; энэ зөрүү нь форматын шинж чанар, гэмтсэн таталт биш.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Экспортолсон файл үнэхээр юу агуулдаг
Экспорт бол контейнер бөгөөд файлын өргөтгөл агуулгаас бага хэлдэг. OpenVPN профайлууд нь текст: зааварчилгаа, нэмэлт суулгагдсан <ca>, <cert> ба <key> блокууд. Tunnelblick тохиргоонууд нь конфигураци, тохиргооны шахсан архив юм. Удирдлагатай .mobileconfig нь ачааллын plist юм. Ямар нэгэн зүйлийг импортлохын өмнө хоёр жагсаалт асуултын ихэнхэд хариулдаг.
Текст профайлын хувьд түүний агуулж буй PEM блокуудыг тоолно уу: grep -c "PRIVATE KEY" your-profile.ovpn. Тэгээс ялгаатай үр дүн нь файл түлхүүрийн материал агуулж байгаа бөгөөд тэр мөчөөс эхлэн нууц үг мэт харьцах ёстойг илэрхийлнэ. Архивын хувьд түүнийг задалгүйгээр жагсаана уу: tar -tf export.tbz, эсвэл клиент zip хийсэн бол unzip -l export.zip. Тэр жагсаалтын түлхүүрийн файлууд, сертификатын файлууд, дээш эсвэл доош скриптүүд нь хэрэглэгчийн бүртгэлийг дахин олгох үед дахин бүтээгдэхгүй хэсгүүд юм.
Эсрэг тохиолдол ч мөн адил чухал. Профайл түлхүүрийг суулгахын оронд файлын нэрээр зааж байвал экспорт зориуд дутуу бөгөөд дутуу хагас нь түүнийг олгосон талаас ирэх ёстой. Сертификатын эрх таных бол тэр файлыг хажууд нь хуулах нь зөв; файл хуучин Mac дээр үүсгэсэн төхөөрөмжид холбогдсон сертификаттай ирсэн бол зөв биш.
Яагаад түлхүүрийн баглааны хагас хэзээ ч аялдаггүй
macOS нь VPN нууц үг, түлхүүрийн нууц үг хэллэгийг нэвтрэх түлхүүрийн баглаанд хадгалдаг бөгөөд клиентүүд тэдгээрийг өөрийн тохиргооны файлд биш, тэнд хадгалдаг. Tunnelblick үүнийг өөрийн экспорт, импортын гарын авлагад хэлдэг: тохиргооны архив нь конфигураци, тохиргоог агуулж, түлхүүрийн баглаанд хадгалагдсан хэрэглэгчийн нэр, нууц үг, нууц үг хэллэгийг гадуур үлдээдэг. Орхих нь зориуд. Түлхүүрийн баглааны элементүүд хэрэглэгч бүр, машин бүрээр хамгаалагддаг тул хуулагдсан элемент очих газарт хүчинтэй хандалтын хяналтгүй бөгөөд энэ нь ашиггүй файл эсвэл задгай текст дэх нууцыг үлдээдэг.
Шилжүүлэлтийг төлөвлөхөөс өмнө итгэмжлэлийн мэдээлэл хаана амьдардаггүйг баталж болно. security find-internet-password -s vpn.example.com тохирох элементийн шинж чанаруудыг хэвлэж, байхгүй бол тэгээс ялгаатай кодоор гардаг; мөнөөх команд -g-тэй бол нууц үгийг илрүүлэхийг шаардахаар байсан тул түүнгүйгээр асуух нь илүү аюулгүй шалгалт юм. Тэнд олдох нь профайл нууц үгийг агуулдаггүй бөгөөд түүнийг албадах боломжгүй гэсэн үг. Мөн нууц үгийг шинэ Mac дээр дахин асуух бөгөөд хуучин дээр өгсөн «Үргэлж зөвшөөрөх» зөвшөөрөл тэнд юу ч гэсэн үг биш.
Гэхдээ нууц бүр түлхүүрийн баглааны элемент биш. Tunnelblick-ийн өөрийн багцын баримт бичигт багц нь түлхүүрийн, сертификатын, скриптийн файлуудыг агуулж болзошгүй гэж тэмдэглэсэн. Тиймээс экспорт түлхүүрийн баглааны бичлэгүүдийг хасаж байгаа нь экспортыг имэйлээр илгээхэд аюулгүй гэсэн мэдэгдэлтэй ижил биш; архивт юу байгааг жагсаах хүртэл түүнийг мэдрэмтгий гэж үзээрэй.
Дотоодын болон удирдлагатай VPN-д экспортын зам байхгүй
Системийн тохиргоогоор тохируулсан холболтууд дэмжигдсэн экспорт санал болгодоггүй. scutil --nc list системийн мэддэг үйлчилгээнүүдийг харуулж, scutil --nc show "Work VPN" нэг үйлчилгээний конфигурацийг хэвлэдэг бөгөөд сервер, протоколыг нь уншихад хангалттай. Аль нь ч шилжүүлгийн хэрэгсэл биш. /Library/Preferences/SystemConfiguration/preferences.plist дотор хадгалагдсан үйлчилгээний таних тэмдэгтүүд нь тэр файл руу чиглэсэн лавлагаа тул файлыг хуулж, таних тэмдэгтүүдийг дахин бичих нь дэмжигдсэн шилжүүлэг биш бөгөөд очих газарт хамааралгүй сүлжээний үйлчилгээг алдагдуулж болно.
Дэмжигдсэн зам нь Apple-ийн баримтжуулсан зам: админаас өгсөн VPN тохиргооны файлыг суулгах, эсвэл операторын өгсөн тохиргоог оруулах. Холболт удирдлагатай бол хуучин диалогийн дэлгэцийн зурагнаас дахин бүтээхийн оронд шинэ файл эсвэл шинэ бүртгэл хүсээрэй. MDM түлхэж буй профайлын хувьд сертификатын ачаалал нь таних тэмдгийг агуулж, хувийн түлхүүр төхөөрөмж дээр үүсдэг байж болох бөгөөд тэр тохиолдолд хуучин профайлын өчүүхэн ч алдаагүй хуулбар шинэ Mac-ыг баталгаажуулж чадахгүй.
Жагсаалтад итгэхийн оронд сэргээлтийг шалгаарай
Жагсаалт дахь профайл ба ажиллаж буй туннель нь хоёр өөр төлөв бөгөөд зөвхөн нэг нь мэдээлэх үнэ цэнэтэй. Импортолж холбогдсоны дараа туннелийн интерфейс байгаа эсэхийг шалгаад, дараа нь туннель юу хийж байгааг шалгаарай.
ifconfig | grep -A3 utun туннелийн интерфейс болон түүний хаягуудыг харуулна. scutil --dns | grep nameserver холболтын дараа аль шийдвэрлэгч идэвхтэй байгааг харуулах бөгөөд split-DNS профайлууд ихэвчлэн яг энд салдаг. Дараа нь үнэхээр чухал нөөцөд хүрээрэй: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Гурвуулаа давбал тохиргоо, DNS, маршрутууд ирсэн байна; клиент дэх ногоон дүрс нь өөрөө эдгээрийн аль нэгийг ч илэрхийлэхгүй.
Импортын дараа хоёр алдаа их гарч, хоёуланг нь файлд тохдог. Нийтийн нэрүүд шийдэгдэж, дотоод нэрүүд шийдэгдэхгүй байх нь ихэвчлэн профайлын DNS серверүүд хасагдсан эсвэл split-DNS хадгалагдаагүй гэсэн үг. Босч, ямар ч урсгал нэвтрүүлэхгүй туннель ихэвчлэн маршрутууд эсвэл серверийн талын зөвшөөрөл профайлыг дагаагүй гэсэн үг. Мөнөөх архивыг дахин импортлох нь хоёуланг нь дахин үүсгэдэг.
Хуучин Mac-ыг тэтгэвэрт гаргахаас өмнө
Экспортыг устгах нь цуцлалт биш. Хуучин төхөөрөмж сертификатаар баталгаажсан бол сервер тэр сертификатыг цуцалсан эсвэл дахин олгосон хүртэл итгэсээр байна. Хэрэв энэ нь хуваалцсан бүртгэлээр баталгаажсан бол тэр бүртгэлийн сессүүд одоо ч амьд байж болно. Техник хангамж одоо ч нүүрэн дээр байх үед серверийн талын алхмыг хийгээрэй.
Шинэ профайл түлхүүр агуулж байвал бусад итгэмжлэлүүдийн хамт хадгалж, нууц үгийг файлд биш, шинэ түлхүүрийн баглаанд орохын тулд клиентэд бичээрэй. Эцсийн шалгалт: хуучин Mac унтарсан байхад орлуулагчаас холбогдоорой. Зөвхөн эх машинаар онлайн байх үед ажилладаг шилжүүлэг хэзээ ч бүрэн байгаагүй.