Memindahkan akses VPN ke Mac baharu: apa yang direkod dahulu
Nama sambungan yang disalin bukan identiti yang dipindahkan. Rekod klien, sumber profil dan laluan kebenaran, kemudian sediakan dan uji Mac baharu.
Migrasi gagal secara senyap: sambungan muncul di bar menu, profil diimport, dan pengesahan masih gagal kerana Mac baharu bukan peranti yang dibenarkan. Mac lama terus berfungsi, jadi kegagalan mudah ditangguhkan sehingga mesin lama tiada. Inventori ringkas sebelum peralihan mengelakkan sebahagian besar daripadanya. Catat apa yang bergantung pada akses selagi anda masih boleh membacanya daripada mesin yang berfungsi.
Inventori akses selagi Mac lama masih bersambung
Mulakan dengan klien dan protokol, bukan nama sambungan. Nama ialah label yang dipilih profil lama; versi klien, protokol dan titik akhir ialah yang perlu dihasilkan semula oleh mesin baharu. Catat juga nama hos tepat titik akhir, kerana migrasi penyedia boleh memindahkannya tanpa menukar label.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Entri identiti paling berat. Nama pengguna dan kod sekali guna boleh dimasukkan pada Mac baharu, sijil dengan kunci boleh eksport kadangkala boleh diimport, dan sijil terikat peranti dengan kunci tidak boleh eksport tidak boleh dipindahkan langsung. Catat kes mana yang anda ada sebelum merancang peralihan. Jika dua jawapan itu tidak sepadan, selesaikan percanggahan sebelum menyalin apa-apa.
Akhir sekali, catat tingkah laku rangkaian yang dijangka: terowong penuh atau terowong berpecah, nama dalaman mana yang mesti diselesaikan, dan sama ada IPv6 dijangka dalam terowong. Daripadanya akan lahir ujian yang menentukan sama ada migrasi berjaya.
Asingkan apa yang boleh disalin daripada apa yang mesti dikeluarkan semula
Profil peringkat pengguna, alamat pelayan dan keutamaan biasanya boleh dipindahkan. Kunci peribadi, sijil peranti dan token pendaftaran tidak, kerana nilainya bergantung pada keterikatan kepada satu mesin. Anggap ia item yang perlu dikeluarkan semula dan tanya pemilik tentang laluan yang disokong. Segala-galanya boleh disalin. Proses pemilik, bukan wizard migrasi, menentukan kategori.
Berhenti di sini jika identiti terikat peranti dan tiada laluan pengeluaran semula. Meneruskan dengan kunci yang disalin sama ada gagal semasa pengesahan atau, lebih teruk, membiarkan kelayakan yang sama aktif pada dua mesin tanpa rekod tentang yang kedua.
Jangan tinggalkan kunci peribadi atau kod pemulihan dalam nota atau mesej sembang semasa pemindahan. Gunakan rantai kunci, pengurus kata laluan atau proses eskrow organisasi, dan daftar semula pengesah bukan menyalin benihnya. Nota migrasi yang mengandungi kelayakan menjadi salinan kedua kelayakan itu.
Sediakan Mac baharu melalui laluan yang disokong
Jika Mac diurus, daftarkannya dalam sistem pengurusan yang sama sebelum menambah konfigurasi manual. Sistem pengurusan memiliki profil yang dikuatkuasakan, dan profil yang diimport tangan di atasnya mencipta dua sumber kebenaran yang bercanggah selepas perubahan dasar seterusnya.
Pada Mac yang tidak diurus, pasang klien daripada muat turun semasa penyedia dan import profil dengan kaedah yang didokumenkan penyedia. Versi macOS terkini memerlukan kelulusan untuk konfigurasi VPN dan sambungan sistem dalam Privasi dan Keselamatan, dan sambungan mungkin perlu dimulakan semula sebelum terowong bermula. Apple mendokumenkan laluan persediaan VPN manual jika anda mahu membandingkannya dengan aplikasi penyedia.
Buang definisi berganda apabila yang baharu berfungsi. Entri lapuk dalam tetapan Rangkaian dan profil aplikasi itu sendiri boleh menunjuk titik akhir yang sama, dan yang bersambung bukan selalu yang anda sangka telah anda edit.
Uji laluan yang benar-benar akan digunakan Mac baharu
Sambung dan pastikan terowong membawa trafik; kemudian periksa resolusi nama dan penghalaan daripada mempercayai ikon bar menu. macOS melaporkan penyelesai bagi setiap antara muka, jadi pelayan DNS dalaman harus muncul pada antara muka terowong dan nama dalaman harus diselesaikan melaluinya. Kedua-dua arahan di bawah hanya membaca keadaan.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Berhenti jika nama hos dalaman diselesaikan ke alamat awam atau jika laluan lalai masih menunjuk antara muka fizikal sedangkan reka bentuk menjangka terowong penuh. Kedua-duanya tanda profil diimport tanpa laluannya atau konfigurasi lain mengatasinya.
Ulang ujian selepas tidur dan selepas menyertai rangkaian lain.Sambungan yang bertahan melalui log masuk pertama tetapi tidak melalui penutupan penutup ialah migrasi yang akan gagal dalam penggunaan harian, dan menangkapnya sebelum Mac lama dipadam ialah tujuan senarai semak.
Lupuskan Mac lama dan batalkan kebenarannya
Biarkan peranti lama bersambung sehingga yang baharu lulus ujian di atas. Kemudian batalkan peranti lama melalui konsol pengendali atau sistem pengurusan; memadam aplikasi daripada Mac lama tidak membatalkan identitinya, dan profil yang disalin masih boleh disahkan.
Selepas pembatalan, buang profil, log keluar daripada akaun dan padam cakera jika mesin meninggalkan kawalan anda. Semak senarai peranti penyedia sekali lagi untuk mengesahkan entri lama hilang dan yang baharu dilabel dengan betul.
Jika rahsia dikongsi atau kelayakan pasukan disalin semasa pemindahan, putarkannya sekarang daripada menunggu perubahan berjadual seterusnya. Migrasi selesai apabila identiti lama mati, bukan apabila ikon baharu bertukar hijau.