Flytt VPN-tilgang til en ny Mac: hva du bør skrive ned først
Et kopiert tilkoblingsnavn er ikke en migrert identitet. Registrer klient, profilkilde og autorisasjonsvei, og sett deretter opp og test den nye Macen.
Migreringen feiler stille: tilkoblingen vises i menylinjen, profilen importeres, og autentiseringen feiler likevel fordi den nye Macen ikke er en autorisert enhet. Den gamle Macen fortsetter å virke, noe som gjør det lett å utsette feilen til den gamle maskinen er borte. En kort oversikt før byttet hindrer det meste. Skriv ned hva tilgangen avhenger av mens du ennå kan lese det på den fungerende maskinen.
Kartlegg tilgangen mens den gamle Macen fortsatt kobler til
Begynn med klienten og protokollen, ikke med tilkoblingsnavnet. Navnet er en etikett den gamle profilen valgte; klientversjonen, protokollen og endepunktet er det den nye maskinen må gjenskape. Noter også det nøyaktige vertsnavnet for endepunktet, for en leverandørmigrering kan flytte det uten å endre etiketten.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Identitetsposten veier tyngst. Et brukernavn og engangskode kan tastes inn på den nye Macen, et sertifikat med eksporterbar nøkkel kan noen ganger importeres, og et enhetsbundet sertifikat med ikke-eksporterbar nøkkel kan ikke flyttes i det hele tatt. Skriv ned hvilken av dem du har før du planlegger overgangen. Hvis to av svarene er uenige, må du løse uenigheten før du kopierer noe.
Noter til slutt den forventede nettverksatferden: full tunnel eller splittet tunnel, hvilke interne navn som må slås opp, og om IPv6 forventes å gå inne i tunnelen. Dette blir testene som avgjør om migreringen virket.
Skill det som kan kopieres fra det som må utstedes på nytt
Profiler på brukernivå, serveradresser og innstillinger kan vanligvis flyttes. Private nøkler, enhetssertifikater og påmeldingstokener kan ikke, fordi verdien deres avhenger av å være bundet til én maskin. Behandle dem som poster som må utstedes på nytt, og spør eieren om den støttede veien. Alt annet kan kopieres. Eierens prosess, ikke migreringsveiviseren, avgjør hvilken kategori som gjelder.
Stopp her hvis identiteten er enhetsbundet og det ikke finnes noen vei for ny utstedelse. Å fortsette med en kopiert nøkkel feiler enten ved autentiseringen eller, verre, lar den samme legitimasjonen være aktiv på to maskiner uten registrering av den andre.
Ikke legg en privat nøkkel eller en gjenopprettingskode i et notat eller en chatmelding under flyttingen. Bruk nøkkelringen, passordbehandleren eller organisasjonens escrow-prosess, og registrer autentiseringsappen på nytt i stedet for å kopiere seed-en. Et migreringsnotat som inneholder en legitimasjon, blir en andre kopi av den.
Sett opp den nye Macen via den støttede veien
Hvis Macen er administrert, meld den inn i det samme styringssystemet før du legger til manuell konfigurasjon. Styringssystemet eier den håndhevede profilen, og en håndimportert profil oppå den gir to sannhetskilder som er uenige etter neste policyendring.
På en Mac som ikke administreres, installer klienten fra leverandørens gjeldende nedlasting og importer profilen via metoden leverandøren dokumenterer. Nyere macOS-versjoner krever godkjenning av VPN-konfigurasjoner og systemutvidelser under Personvern og sikkerhet, og en utvidelse kan trenge en omstart før tunnelen kan starte. Apple beskriver den manuelle VPN-oppsettveien hvis du vil sammenligne den med leverandørens app.
Fjern dupliserte definisjoner når den nye virker. En utdatert oppføring i Nettverksinnstillinger og appens egen profil kan begge peke på samme endepunkt, og den som kobler til, er ikke alltid den du tror du redigerte.
Test veiene den nye Macen faktisk bruker
Koble til og bekreft at tunnelen bærer trafikk; sjekk deretter navneoppslag og ruting i stedet for å stole på ikonet i menylinjen. macOS rapporterer resolvere per grensesnitt, så den interne DNS-serveren bør vises for tunellgrensesnittet, og interne navn bør slås opp gjennom den. Begge kommandoene nedenfor leser bare tilstand.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Stopp hvis et internt vertsnavn slås opp til en offentlig adresse, eller hvis standardruten fortsatt peker på det fysiske grensesnittet når designet forventer en full tunnel. Begge er tegn på at profilen ble importert uten rutene sine, eller at en annen konfigurasjon overstyrer den.
Gjenta testen etter dvale og etter å ha koblet til et annet nettverk. En tilkobling som overlever første pålogging, men ikke et lukket lokk er en migrering som vil feile i daglig bruk, og å fange det før den gamle Macen slettes er hele poenget med sjekklisten.
Ta den gamle Macen ut av drift og tilbakekall den
Hold den gamle enheten tilkoblet til den nye består testene ovenfor. Tilbakekall deretter den gamle enheten via operatørens konsoll eller styringssystemet; å slette appen på den gamle Macen tilbakekaller ikke identiteten, og en kopiert profil kan fortsatt autentisere.
Etter tilbakekallingen fjerner du profilene, logger av kontoen og sletter disken hvis maskinen forlater din kontroll. Sjekk leverandørens enhetsliste én gang til for å bekrefte at den gamle oppføringen er borte og den nye er merket riktig.
Hvis en delt hemmelighet eller en teamlegitimasjon ble kopiert under flyttingen, roter den nå i stedet for å vente på neste planlagte endring. Migreringen er ferdig når den gamle identiteten er død, ikke når det nye ikonet blir grønt.