Apa yang terkandung dalam eksport VPN Mac, dan apa yang ditinggalkannya

Klik Export dalam klien VPN Mac dan anda mendapat fail yang menerangkan sambungan tanpa menjadi sambungan itu. Alamat pelayan, port, protokol dan selalunya sijil berada di dalamnya. Kata laluan log masuk, frasa laluan kunci peribadi dan pendaftaran yang memberi kuasa kepada Mac ini biasanya tidak. Itulah sebabnya profil boleh diimport dengan bersih, muncul dalam senarai klien dan masih gagal pada permintaan pengesahan pertama; jurang itu sifat format, bukan muat turun rosak.

Apa yang sebenarnya terkandung dalam fail yang dieksport

Eksport ialah bekas, dan sambungan fail memberitahu kurang daripada kandungannya. Profil OpenVPN ialah teks: arahan, serta blok <ca>, <cert> dan <key> sebaris yang pilihan. Persediaan Tunnelblick ialah arkib termampat konfigurasi dan tetapan. .mobileconfig terurus ialah plist muatan. Dua penyenaraian menjawab sebahagian besar soalan sebelum anda mengimport apa-apa.

Untuk profil teks, kira blok PEM yang dibawanya: grep -c "PRIVATE KEY" your-profile.ovpn. Hasil bukan sifar bermakna fail mengandungi bahan kunci dan mesti dikendalikan seperti kata laluan dari saat itu. Untuk arkib, senaraikannya tanpa mengekstrak: tar -tf export.tbz, atau unzip -l export.zip jika klien menghasilkan zip. Fail kunci, fail sijil dan skrip naik atau turun dalam penyenaraian itu ialah bahagian yang tidak akan dicipta semula oleh pengeluaran semula akaun pengguna.

Kes sebaliknya sama penting. Apabila profil menunjuk kepada kunci mengikut nama fail dan bukan menyematkannya, eksport itu sengaja tidak lengkap dan separuh yang hilang mesti datang daripada pihak yang mengeluarkannya. Menyalin fail itu di sebelahnya adalah wajar apabila anda memiliki pihak berkuasa sijil; ia tidak wajar apabila fail itu datang dengan sijil terikat peranti yang dijana pada Mac lama.

Mengapa separuh keychain tidak pernah mengembara

macOS menyimpan kata laluan VPN dan frasa laluan kunci dalam keychain log masuk, dan klien menyimpannya di situ dan bukan dalam fail tetapan mereka sendiri. Tunnelblick menyatakannya dalam panduan eksport dan importnya: arkib persediaan membawa konfigurasi dan tetapan serta meninggalkan nama pengguna, kata laluan dan frasa laluan yang disimpan dalam keychain. Peninggalan itu disengajakan. Item keychain dilindungi mengikut pengguna dan mengikut mesin, jadi item yang disalin tiada kawalan akses yang sah di destinasi, yang meninggalkan sama ada fail tidak berguna atau rahsia dalam teks biasa.

Anda boleh mengesahkan di mana kelayakan itu tinggal sebelum merancang pemindahan. security find-internet-password -s vpn.example.com mencetak atribut untuk item yang sepadan dan keluar dengan kod bukan sifar apabila tiada; arahan yang sama dengan -g akan meminta pendedahan kata laluan, sebab itu pertanyaan tanpanya ialah pemeriksaan yang lebih selamat. Penemuan di situ bermakna profil tidak membawa kata laluan dan tidak boleh dipaksa berbuat demikian. Ia juga bermakna kata laluan akan diminta semula pada Mac baharu, dan kebenaran «Sentiasa benarkan» pada yang lama tidak bermakna apa-apa di situ.

Bukan setiap rahsia ialah item keychain, bagaimanapun. Dokumentasi pakej Tunnelblick sendiri menyatakan bahawa pakej mungkin mengandungi fail kunci, sijil dan skrip. Jadi eksport yang mengecualikan entri keychain bukanlah dakwaan yang sama dengan eksport itu selamat dihantar melalui e-mel; anggap arkib itu sensitif sehingga anda menyenaraikan apa yang ada di dalamnya.

VPN asli dan terurus tiada laluan eksport

Sambungan yang dikonfigurasikan melalui Tetapan Sistem tidak menawarkan eksport yang disokong. scutil --nc list menunjukkan perkhidmatan yang diketahui sistem, dan scutil --nc show "Work VPN" mencetak konfigurasi satu perkhidmatan, cukup untuk membaca pelayan dan protokolnya. Kedua-duanya bukan alat migrasi. Pengecam perkhidmatan yang disimpan dalam /Library/Preferences/SystemConfiguration/preferences.plist ialah rujukan ke dalam fail itu, jadi menyalin fail dan menulis semula pengecam bukan pemindahan yang disokong dan boleh mengganggu perkhidmatan rangkaian yang tidak berkaitan di destinasi.

Laluan yang disokong ialah yang didokumenkan Apple: pasang fail tetapan VPN yang disediakan pentadbir, atau masukkan tetapan yang diberikan pengendali kepada anda. Apabila sambungan terurus, minta fail baharu atau pendaftaran baharu dan bukan membinanya semula daripada tangkapan skrin dialog lama. Untuk profil yang ditolak MDM, muatan sijil mungkin membawa identiti manakala kunci peribadi dijana pada peranti, dan dalam kes itu salinan profil lama yang sempurna pun tidak dapat mengesahkan Mac baharu.

Sahkan pemulihan dan bukan mempercayai senarai

Profil dalam senarai dan terowong yang berfungsi ialah dua keadaan berbeza, dan hanya satu daripadanya patut dilaporkan. Selepas mengimport dan menyambung, semak bahawa antara muka terowong wujud, kemudian semak apa yang dilakukan terowong itu.

ifconfig | grep -A3 utun menunjukkan antara muka terowong dan alamatnya. scutil --dns | grep nameserver menunjukkan penyelesai mana yang aktif selepas sambungan, dan di situlah profil split-DNS biasanya berbeza. Kemudian capai sumber yang benar-benar penting: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Jika ketiga-tiganya lulus, tetapan, DNS dan laluan telah tiba; ikon hijau dalam klien tidak bermakna apa-apa daripada itu dengan sendirinya.

Dua kegagalan sering muncul selepas import dan kedua-duanya disalahkan pada fail. Nama awam diselesaikan manakala yang dalaman tidak biasanya bermakna pelayan DNS profil digugurkan atau split-DNS tidak dikekalkan. Terowong yang naik dan tidak melepaskan trafik biasanya bermakna laluan atau kebenaran sebelah pelayan tidak mengikut profil. Mengimport semula arkib yang sama menghasilkan kedua-duanya.

Sebelum anda bersara Mac lama

Memadam eksport bukan pembatalan. Jika peranti lama disahkan dengan sijil, pelayan masih mempercayai sijil itu sehingga ia dibatalkan atau dikeluarkan semula. Jika ia disahkan dengan akaun dikongsi, sesi pada akaun itu mungkin masih hidup. Lakukan langkah sebelah pelayan sementara perkakasan masih di hadapan anda.

Simpan profil baharu bersama kelayakan anda yang lain apabila ia mengandungi kunci, dan taip kata laluan ke dalam klien supaya ia mendarat dalam keychain baharu dan bukan dalam fail. Pemeriksaan terakhir: sambung dari pengganti sementara Mac lama dimatikan. Penyerahan yang hanya berfungsi selagi mesin sumber dalam talian tidak pernah lengkap.