VPN-toegang naar een nieuwe Mac verhuizen: wat u eerst vastlegt

De migratie mislukt geruisloos: de verbinding staat in de menubalk, het profiel wordt geïmporteerd, en toch mislukt de aanmelding omdat de nieuwe Mac geen geautoriseerd apparaat is. De oude Mac blijft werken, waardoor de fout makkelijk wordt uitgesteld tot het oude apparaat weg is. Een korte inventarisatie vóór de overstap voorkomt het meeste. Schrijf op waarvan de toegang afhangt zolang u het nog op de werkende machine kunt aflezen.

Breng de toegang in kaart terwijl de oude Mac nog verbindt

Begin bij de client en het protocol, niet bij de verbindingsnaam. De naam is een label dat het oude profiel koos; de clientversie, het protocol en het eindpunt moet de nieuwe machine nabootsen. Noteer ook de exacte hostnaam van het eindpunt, want een providerwijziging kan die verplaatsen zonder het label te wijzigen.

De identiteitsregel weegt het zwaarst. Een gebruikersnaam met eenmalige code kan op de nieuwe Mac worden ingevoerd, een certificaat met exporteerbare sleutel kan soms worden geïmporteerd, en een apparaatgebonden certificaat met niet-exporteerbare sleutel kan helemaal niet mee. Leg vast welke van deze gevallen geldt voordat u de overstap plant. Spreken twee van die antwoorden elkaar tegen, los dat dan op voordat u iets kopieert.

Noteer ten slotte het verwachte netwerkgedrag: volledige tunnel of split-tunnel, welke interne namen moeten worden omgezet, en of IPv6 binnen de tunnel wordt verwacht. Daaruit komen de tests die bepalen of de migratie is geslaagd.

Scheid wat kan worden gekopieerd van wat opnieuw moet worden uitgegeven

Profielen op gebruikersniveau, serveradressen en voorkeuren zijn meestal overdraagbaar. Privésleutels, apparaatcertificaten en inschrijvingstokens niet, omdat hun waarde afhangt van binding aan één machine. Behandel die als posten die opnieuw moeten worden uitgegeven en vraag de eigenaar naar het ondersteunde pad. Al het andere komt in aanmerking om te kopiëren. Het proces van de eigenaar bepaalt welke categorie geldt, niet de migratiewizard.

Stop hier als de identiteit apparaatgebonden is en er geen route voor heruitgifte bestaat. Doorgaan met een gekopieerde sleutel mislukt bij de aanmelding of, erger, laat dezelfde inloggegevens actief op twee machines zonder dat de tweede ergens is vastgelegd.

Leg tijdens de verhuizing geen privésleutel of herstelcode vast in een notitie of chatbericht. Gebruik de sleutelhanger, de wachtwoordmanager of het escrowproces van de organisatie, en schrijf de authenticator opnieuw in in plaats van de seed te kopiëren. Een migratienotitie met inloggegevens wordt een tweede kopie van die gegevens.

Richt de nieuwe Mac in via het ondersteunde pad

Is de Mac beheerd, schrijf hem dan in hetzelfde beheersysteem in voordat u handmatige configuratie toevoegt. Het beheersysteem bezit het afgedwongen profiel; een handmatig geïmporteerd profiel erbovenop levert twee bronnen van waarheid die na de volgende beleidswijziging uiteenlopen.

Op een niet-beheerde Mac installeert u de client via de actuele download van de leverancier en importeert u het profiel via de methode die de leverancier documenteert. Recente macOS-versies vragen om goedkeuring voor VPN-configuraties en systeemextensies bij Privacy en beveiliging, en een extensie heeft soms een herstart nodig voordat de tunnel kan starten. Apple beschrijft het handmatige VPN-instelpunt als u het met de leveranciersapp wilt vergelijken.

Verwijder dubbele definities zodra de nieuwe werkt. Een verouderde vermelding in Netwerkinstellingen en het eigen profiel van de app kunnen beide naar hetzelfde eindpunt wijzen, en degene die verbindt is niet altijd degene waarvan u dacht dat u hem had bewerkt.

Test de paden die de nieuwe Mac echt gebruikt

Maak verbinding en controleer of de tunnel verkeer draagt; kijk daarna naar naamomzetting en routering in plaats van het pictogram in de menubalk te vertrouwen. macOS meldt resolvers per interface, dus de interne DNS-server hoort bij de tunnelinterface te verschijnen en interne namen horen daar via te worden omgezet. Beide opdrachten hieronder lezen alleen de status.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Stop als een interne hostnaam naar een openbaar adres wordt omgezet of als de standaardroute nog naar de fysieke interface wijst terwijl het ontwerp een volledige tunnel verwacht. Beide zijn tekenen dat het profiel zonder zijn routes is geïmporteerd of dat een andere configuratie het overschrijft.

Herhaal de test na de slaapstand en na het verbinden met een ander netwerk. Een verbinding die de eerste aanmelding overleeft maar het sluiten van het deksel niet is een migratie die in het dagelijks gebruik zal mislukken, en dat opvangen voordat de oude Mac wordt gewist is het doel van de checklist.

Neem de oude Mac buiten gebruik en trek hem in

Laat het oude apparaat verbonden tot het nieuwe de bovenstaande tests doorstaat. Trek het oude apparaat dan in via de console van de beheerder of het beheersysteem; de app van de oude Mac verwijderen trekt de identiteit niet in, en een gekopieerd profiel kan zich nog steeds aanmelden.

Verwijder na het intrekken de profielen, meld u af bij het account en wis de schijf als de machine uw beheer verlaat. Controleer de apparatenlijst van de leverancier nog één keer om te bevestigen dat de oude vermelding weg is en de nieuwe juist is gelabeld.

Is tijdens de verhuizing een gedeeld geheim of een teamreferentie gekopieerd, roteer het dan nu in plaats van te wachten op de volgende geplande wijziging. De migratie is klaar wanneer de oude identiteit dood is, niet wanneer het nieuwe pictogram groen wordt.