Flytt VPN-tilgang til ein ny Mac: kva du bør skrive ned først
Eit kopiert tilkoplingsnamn er ikkje ein migrert identitet. Registrer klient, profilkjelde og autorisasjonsveg, og set deretter opp og test den nye Macen.
Migreringa feilar stille: tilkoplinga dukkar opp i menylinja, profilen vert importert, og autentiseringa feilar likevel fordi den nye Macen ikkje er ei autorisert eining. Den gamle Macen held fram med å virke, noko som gjer det lett å utsetje feilen til den gamle maskina er borte. Ei kort oversikt før bytet hindrar det meste. Skriv ned kva tilgangen er avhengig av medan du enno kan lese det på den fungerande maskina.
Kartlegg tilgangen medan den gamle Macen enno koplar til
Byrj med klienten og protokollen, ikkje med tilkoplingsnamnet. Namnet er ei etikett den gamle profilen valde; klientversjonen, protokollen og endepunktet er det den nye maskina må gjenskape. Noter òg det nøyaktige vertsnamnet for endepunktet, for ei leverandørmigrering kan flytte det utan å endre etiketten.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Identitetsposten veg tyngst. Eit brukarnamn og eingongskode kan tastast inn på den nye Macen, eit sertifikat med eksporterbar nøkkel kan stundom importerast, og eit einingbunde sertifikat med ein ikkje-eksporterbar nøkkel kan ikkje flyttast i det heile. Skriv ned kva av desse du har før du planlegg overgangen. Viss to av svara er usamde, må du løyse usemja før du kopierer noko.
Noter til slutt den forventa nettverksåtferda: full tunnel eller splitta tunnel, kva interne namn som må slåast opp, og om IPv6 er forventa inne i tunnelen. Dette vert testane som avgjer om migreringa virka.
Skil det som kan kopierast frå det som må utstedast på nytt
Profilar på brukarnivå, serveradresser og innstillingar kan vanlegvis flyttast. Private nøklar, einingssertifikat og påmeldingstoken kan ikkje, fordi verdien deira er avhengig av å vere bunden til éi maskin. Handsame dei som postar som må utstedast på nytt, og spør eigaren om den støtta vegen. Alt anna kan kopierast. Prosessen til eigaren, ikkje migreringsvegvisaren, avgjer kva kategori som gjeld.
Stopp her viss identiteten er einingbunden og det ikkje finst nokon veg for ny utsteding. Å halde fram med ein kopiert nøkkel feilar anten ved autentiseringa eller, verre, lèt den same legitimasjonen vere aktiv på to maskiner utan registrering av den andre.
Ikkje legg ein privat nøkkel eller ein gjenopprettingskode i eit notat eller ei chatmelding under flyttinga. Bruk nøkkelringen, passordhandsamaren eller escrow-prosessen til organisasjonen, og registrer autentiseringsappen på nytt i staden for å kopiere seed-en. Eit migreringsnotat som inneheld ein legitimasjon, vert ein andre kopi av den.
Set opp den nye Macen via den støtta vegen
Viss Macen er administrert, meld han inn i det same styringssystemet før du legg til manuell konfigurasjon. Styringssystemet eig den handheva profilen, og ein handimportert profil oppå han gjev to sanningkjelder som er usamde etter neste policyendring.
På ein Mac som ikkje er administrert, installer klienten frå den gjeldande nedlastinga til leverandøren og importer profilen via metoden leverandøren dokumenterer. Nyare macOS-versjonar krev godkjenning av VPN-konfigurasjonar og systemutvidingar under Personvern og tryggleik, og ei utviding kan trenge ein omstart før tunnelen kan starte. Apple skildrar den manuelle VPN-oppsettvegen viss du vil samanlikne han med leverandøren sin app.
Fjern dupliserte definisjonar når den nye virkar. Ei utdatert oppføring i Nettverksinnstillingar og appens eigen profil kan begge peike på same endepunkt, og den som koplar til, er ikkje alltid den du trur du redigerte.
Test vegane den nye Macen faktisk brukar
Kopla til og stadfest at tunnelen ber trafikk; sjekk deretter namneoppslag og ruting i staden for å stole på ikonet i menylinja. macOS rapporterer resolverar per grensesnitt, så den interne DNS-serveren bør visast for tunellgrensesnittet, og interne namn bør slåast opp gjennom han. Begge kommandoane nedanfor les berre tilstand.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Stopp viss eit internt vertsnamn vert slått opp til ei offentleg adresse, eller viss standardruta enno peikar på det fysiske grensesnittet når designet ventar ein full tunnel. Begge er teikn på at profilen vart importert utan rutene sine, eller at ein annan konfigurasjon overstyrer han.
Gjenta testen etter dvale og etter å ha kopla til eit anna nettverk. Ei tilkopling som overlever første pålogging, men ikkje eit lukka lokk er ei migrering som vil feile i dagleg bruk, og å fange det før den gamle Macen vert sletta er heile poenget med sjekklista.
Ta den gamle Macen ut av drift og tilbakekall han
Hald den gamle eininga tilkopla til den nye står gjennom testane ovanfor. Tilbakekall deretter den gamle eininga via konsollen til operatøren eller styringssystemet; å slette appen på den gamle Macen tilbakekallar ikkje identiteten, og ein kopiert profil kan framleis autentisere.
Etter tilbakekallinga fjernar du profilane, loggar av kontoen og slettar disken viss maskina forlèt kontrollen din. Sjekk eininglista til leverandøren éin gong til for å stadfeste at den gamle oppføringa er borte og den nye er merkt riktig.
Viss ei delt løyndom eller ein teamlegitimasjon vart kopiert under flyttinga, roter han no i staden for å vente på neste planlagde endring. Migreringa er ferdig når den gamle identiteten er død, ikkje når det nye ikonet vert grønt.