Hva en Mac VPN-eksport inneholder, og hva den lar ligge igjen

Klikk på Export i en Mac VPN-klient, og du ender opp med en fil som beskriver en tilkobling uten å være en. Serveradresse, port, protokoll og ofte sertifikatene ligger inni den. Innloggingspassordet, passfrasen til en privat nøkkel og registreringen som autoriserer akkurat denne Macen, gjør det vanligvis ikke. Derfor kan en profil importeres rent, dukke opp i klientlisten og likevel feile ved den første autentiseringsforespørselen; gapet er en egenskap ved formatet, ikke en ødelagt nedlasting.

Hva den eksporterte filen faktisk inneholder

En eksport er en beholder, og filtypen forteller mindre enn innholdet. OpenVPN-profiler er tekst: direktiver, pluss valgfrie innebygde <ca>, <cert> og <key>-blokker. Tunnelblick-oppsett er komprimerte arkiver med konfigurasjoner og innstillinger. En administrert .mobileconfig er en plist med nyttelaster. To lister svarer på det meste av spørsmålet før du importerer noe.

For en tekstprofil, tell PEM-blokkene den bærer: grep -c "PRIVATE KEY" your-profile.ovpn. Et resultat som ikke er null betyr at filen inneholder nøkkelmateriale og må håndteres som et passord fra da av. For et arkiv, list det uten å pakke det ut: tar -tf export.tbz, eller unzip -l export.zip hvis klienten lagde en zip. Nøkkelfiler, sertifikatfiler og opp- eller nedskript i den listen er delene som en nyutstedelse av en brukerkonto ikke vil gjenskape.

Det motsatte tilfellet betyr like mye. Når profilen peker på en nøkkel ved filnavn i stedet for å bygge den inn, er eksporten med vilje ufullstendig, og den manglende halvparten må komme fra den som utstedte den. Å kopiere filen ved siden av er greit når du eier sertifikatmyndigheten; det er ikke greit når filen kom med et enhetsbundet sertifikat som ble generert på den gamle Macen.

Hvorfor halvparten fra nøkkelringen aldri reiser

macOS oppbevarer VPN-passord og nøkkelpassfraser i innloggingsnøkkelringen, og klienter lagrer dem der i stedet for i egne innstillingsfiler. Tunnelblick sier det i sin veiledning for eksport og import: oppsettsarkivet bærer konfigurasjoner og innstillinger og utelater brukernavnene, passordene og passfrasene som ligger i nøkkelringen. Utelatelsen er bevisst. Nøkkelringselementer er beskyttet per bruker og per maskin, så et kopiert element har ingen gyldig tilgangskontroll på målet, noe som etterlater enten en ubrukelig fil eller en hemmelighet i klartekst.

Du kan bekrefte hvor legitimasjonen bor før du planlegger flyttingen. security find-internet-password -s vpn.example.com skriver ut attributtene til et samsvarende element og avslutter med en kode som ikke er null når det ikke finnes noe; samme kommando med -g ville be om å avsløre passordet, derfor er spørringen uten den den sikrere kontrollen. Et treff der betyr at profilen ikke bærer passordet og ikke kan tvinges til det. Det betyr også at passordet vil bli spurt om igjen på den nye Macen, og en «Tillat alltid»-godkjenning på den gamle teller ikke der.

Ikke hver hemmelighet er et nøkkelringselement, likevel. Tunnelblicks egen pakkedokumentasjon bemerker at en pakke kan inneholde nøkkel-, sertifikat- og skriptfiler. Så at eksporten utelater nøkkelringselementer er ikke samme påstand som at eksporten er trygg å sende på e-post; behandle arkivet som sensitivt til du har listet opp hva som er i det.

Innebygde og administrerte VPN-er har ingen eksportvei

Tilkoblinger som er konfigurert via Systeminnstillinger tilbyr ingen støttet eksport. scutil --nc list viser tjenestene systemet kjenner, og scutil --nc show "Work VPN" skriver ut konfigurasjonen til én tjeneste, nok til å lese serveren og protokollen. Ingen av dem er et migreringsverktøy. Tjenesteidentifikatorene som er lagret i /Library/Preferences/SystemConfiguration/preferences.plist er referanser inn i den filen, så å kopiere filen og skrive om identifikatorer er ikke en støttet overføring og kan forstyrre urelaterte nettverkstjenester på målet.

Den støttede veien er den Apple dokumenterer: installer en VPN-innstillingsfil som en administrator har levert, eller skriv inn innstillingene operatøren gir deg. Når tilkoblingen er administrert, be om en fersk fil eller en fersk registrering i stedet for å gjenoppbygge den fra et skjermbilde av den gamle dialogen. For en profil som skyves av MDM, kan sertifikatnyttelasten bære identiteten mens den private nøkkelen genereres på enheten, og i så fall kan selv en feilfri kopi av den gamle profilen ikke autentisere den nye Macen.

Verifiser gjenopprettingen i stedet for å stole på listen

En profil på listen og en fungerende tunnel er to forskjellige tilstander, og bare én av dem er verdt å rapportere. Etter import og tilkobling, sjekk at tunnelgrensesnittet finnes, og sjekk deretter hva tunnelen gjør.

ifconfig | grep -A3 utun viser tunnelgrensesnittet og adressene. scutil --dns | grep nameserver viser hvilke resolvere som er aktive etter tilkoblingen, og det er der split-DNS-profiler vanligvis skiller lag. Nå deretter ressursen som faktisk betyr noe: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Hvis alle tre passerer, har innstillinger, DNS og ruter ankommet; et grønt ikon i klienten betyr ingenting av det i seg selv.

To feil dukker ofte opp etter en import, og begge får filen skylden. At offentlige navn løses mens interne ikke gjør det, betyr vanligvis at profilens DNS-servere ble droppet eller at split-DNS ikke ble bevart. En tunnel som kommer opp og ikke slipper trafikk gjennom, betyr vanligvis at ruter eller serverside-autorisasjon ikke fulgte profilen. Å importere det samme arkivet på nytt gjenskaper begge.

Før du pensjonerer den gamle Macen

Å slette eksporten er ikke tilbakekalling. Hvis den gamle enheten autentiserte med et sertifikat, stoler serveren fortsatt på det sertifikatet til det tilbakekalles eller utstedes på nytt. Hvis den autentiserte med en delt konto, kan økter på den kontoen fortsatt være aktive. Gjør serverside-trinnet mens maskinvaren fortsatt er foran deg.

Oppbevar den nye profilen sammen med de andre legitimasjonene dine når den inneholder en nøkkel, og skriv passordet inn i klienten så det havner i den nye nøkkelringen i stedet for i en fil. Siste kontroll: koble til fra erstatningen mens den gamle Macen er avslått. En overlevering som bare virker mens kildemaskinen er på nett, har aldri vært komplett.