Kva ein Mac VPN-eksport inneheld, og kva han lèt liggje att

Klikk på Export i ein Mac VPN-klient, og du sit att med ei fil som skildrar ei tilkopling utan å vere ei. Tenaradresse, port, protokoll og ofte sertifikata ligg inni ho. Innloggingspassordet, passfrasen til ein privat nøkkel og registreringa som autoriserer nettopp denne Macen gjer det vanlegvis ikkje. Difor kan ein profil importerast reint, dukke opp i klientlista og likevel feile ved den første autentiseringsførespurnaden; gapet er ein eigenskap ved formatet, ikkje ei øydelagd nedlasting.

Kva den eksporterte fila faktisk inneheld

Ein eksport er ein behaldar, og filtypen fortel mindre enn innhaldet. OpenVPN-profilar er tekst: direktiv, pluss valfrie innebygde <ca>, <cert> og <key>-blokker. Tunnelblick-oppsett er komprimerte arkiv med konfigurasjonar og innstillingar. Ein administrert .mobileconfig er ein plist med nyttelaster. To lister svarar på det meste av spørsmålet før du importerer noko.

For ein tekstprofil tel du PEM-blokkene han ber: grep -c "PRIVATE KEY" your-profile.ovpn. Eit resultat som ikkje er null tyder at fila inneheld nøkkelmateriale og må handsamast som eit passord frå då av. For eit arkiv, list det utan å pakke det ut: tar -tf export.tbz, eller unzip -l export.zip om klienten laga ein zip. Nøkkelfiler, sertifikatfiler og opp- eller nedskript i den lista er delane som ei nyutgjeving av ein brukarkonto ikkje vil gjenskape.

Det motsette tilfellet tyder like mykje. Når profilen peikar på ein nøkkel ved filnamn i staden for å byggje han inn, er eksporten med vilje ufullstendig, og den manglande halvdelen må kome frå den som gav han ut. Å kopiere fila ved sida av er greitt når du eig sertifikatstyresmakta; det er ikkje greitt når fila kom med eit einingbunde sertifikat som vart generert på den gamle Macen.

Kvifor halvdelen frå nykelringen aldri reiser

macOS oppbevarer VPN-passord og nøkkelpassfrasar i innloggingsnykelringen, og klientar lagrar dei der i staden for i eigne innstillingsfiler. Tunnelblick seier det i si rettleiing for eksport og import: oppsettsarkivet ber konfigurasjonar og innstillingar og lèt ute brukarnamna, passorda og passfrasane som ligg i nykelringen. Utelatinga er medvite. Nykelringselement er verna per brukar og per maskin, så eit kopiert element har ingen gyldig tilgangskontroll på målet, noko som lèt att anten ei ubrukeleg fil eller ein løyndom i klartekst.

Du kan stadfeste kvar legitimasjonen bur før du planlegg flyttinga. security find-internet-password -s vpn.example.com skriv ut attributta til eit samsvarande element og endar med ein kode som ikkje er null når det ikkje finst noko; same kommandoen med -g ville be om å avsløre passordet, difor er spørjinga utan han den tryggare kontrollen. Eit treff der tyder at profilen ikkje ber passordet og ikkje kan tvingast til det. Det tyder òg at passordet vil bli spurt om igjen på den nye Macen, og ei «Tillat alltid»-godkjenning på den gamle tel ikkje der.

Ikkje kvar løyndom er eit nykelringselement likevel. Tunnelblicks eigen pakkedokumentasjon nemner at ein pakke kan innehalde nøkkel-, sertifikat- og skriptfiler. Så at eksporten lèt ute nykelringselement er ikkje same påstanden som at eksporten er trygg å sende på e-post; handsam arkivet som sensitivt til du har lista opp kva som er i det.

Innebygde og administrerte VPN-ar har ingen eksportveg

Tilkoplingar som er konfigurerte via Systeminnstillingar tilbyr ingen støtta eksport. scutil --nc list viser tenestene systemet kjenner, og scutil --nc show "Work VPN" skriv ut konfigurasjonen til éi teneste, nok til å lese tenaren og protokollen. Ingen av dei er eit migreringsverktøy. Tenesteidentifikatorane som er lagra i /Library/Preferences/SystemConfiguration/preferences.plist er referansar inn i den fila, så å kopiere fila og skrive om identifikatorar er ikkje ei støtta overføring og kan forstyrre urelaterte nettverkstenester på målet.

Den støtta vegen er den Apple dokumenterer: installer ei VPN-innstillingsfil som ein administrator har levert, eller skriv inn innstillingane operatøren gir deg. Når tilkoplinga er administrert, be om ei fersk fil eller ei fersk registrering i staden for å byggje ho opp att frå eit skjermbilete av den gamle dialogen. For ein profil som blir skyvd av MDM, kan sertifikatnyttelasta bere identiteten medan den private nøkkelen blir generert på eininga, og i så fall kan sjølv ein feilfri kopi av den gamle profilen ikkje autentisere den nye Macen.

Stadfest gjenopprettinga i staden for å stole på lista

Ein profil på lista og ein fungerande tunnel er to ulike tilstandar, og berre éin av dei er verdt å rapportere. Etter import og tilkopling, sjekk at tunnelgrensesnittet finst, og sjekk deretter kva tunnelen gjer.

ifconfig | grep -A3 utun viser tunnelgrensesnittet og adressene. scutil --dns | grep nameserver viser kva resolvarar som er aktive etter tilkoplinga, og det er der split-DNS-profilar vanlegvis skil lag. Nå deretter ressursen som faktisk tyder noko: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Om alle tre passerer, har innstillingar, DNS og ruter kome; eit grønt ikon i klienten tyder ingenting av det i seg sjølv.

To feil dukkar ofte opp etter ein import, og begge får fila skulda. At offentlege namn blir løyste medan interne ikkje, tyder vanlegvis at DNS-tenarane til profilen vart droppa eller at split-DNS ikkje vart bevart. Ein tunnel som kjem opp og ikkje slepp trafikk gjennom, tyder vanlegvis at ruter eller autorisasjon på tenarsida ikkje følgde profilen. Å importere det same arkivet på nytt attskapar begge.

Før du pensjonerer den gamle Macen

Å slette eksporten er ikkje tilbakekalling. Om den gamle eininga autentiserte med eit sertifikat, stolar tenaren framleis på det sertifikatet til det blir tilbakekalla eller gitt ut på nytt. Om ho autentiserte med ein delt konto, kan økter på den kontoen framleis vere aktive. Gjer tenarsidetrinnet medan maskinvara framleis er framfor deg.

Oppbevar den nye profilen saman med dei andre legitimasjonane dine når han inneheld ein nøkkel, og skriv passordet inn i klienten så det hamnar i den nye nykelringen i staden for i ei fil. Siste kontroll: kople til frå erstatninga medan den gamle Macen er avslått. Ei overlevering som berre verkar medan kjelda er på nett, har aldri vore komplett.