Przenoszenie dostępu VPN na nowego Maca: co zapisać najpierw
Skopiowana nazwa połączenia to nie zmigrowana tożsamość. Zapisz klienta, źródło profilu i ścieżkę autoryzacji, a następnie przygotuj i przetestuj nowego Maca.
Migracja zawodzi po cichu: połączenie pojawia się na pasku menu, profil się importuje, a uwierzytelnianie nadal nie działa, bo nowy Mac nie jest autoryzowanym urządzeniem. Stary Mac nadal działa, co ułatwia odłożenie błędu na później, aż starej maszyny już nie będzie. Krótki spis wykonany przed zmianą zapobiega większości problemów. Zapisz, od czego zależy dostęp, dopóki możesz to jeszcze odczytać z działającej maszyny.
Zinwentaryzuj dostęp, dopóki stary Mac jeszcze się łączy
Zacznij od klienta i protokołu, a nie od nazwy połączenia. Nazwa to etykieta wybrana przez stary profil; wersja klienta, protokół i punkt końcowy to coś, co nowa maszyna musi odtworzyć. Zapisz też dokładną nazwę hosta punktu końcowego, ponieważ migracja u dostawcy może ją przenieść bez zmiany etykiety.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Wpis tożsamości waży najwięcej. Nazwę użytkownika i kod jednorazowy można wprowadzić na nowym Macu, certyfikat z eksportowalnym kluczem czasami da się zaimportować, a certyfikat powiązany z urządzeniem z nieeksportowalnym kluczem nie da się przenieść w ogóle. Zapisz, który z tych przypadków masz, zanim zaplanujesz przejście. Jeśli dwie z tych odpowiedzi się nie zgadzają, rozstrzygnij sprzeczność, zanim cokolwiek skopiujesz.
Na koniec zapisz oczekiwane zachowanie sieci: tunel pełny czy tunel dzielony, które nazwy wewnętrzne muszą się rozwiązywać i czy IPv6 ma podróżować wewnątrz tunelu. To staną się testy, które zdecydują, czy migracja się udała.
Oddziel to, co można skopiować, od tego, co trzeba wydać ponownie
Profile na poziomie użytkownika, adresy serwerów i preferencje zwykle da się przenieść. Klucze prywatne, certyfikaty urządzeń i tokeny rejestracji nie, bo ich wartość zależy od powiązania z jedną maszyną. Traktuj je jako pozycje do ponownego wydania i zapytaj właściciela o obsługiwaną ścieżkę. Wszystko inne można skopiować. O kategorii decyduje proces właściciela, a nie kreator migracji.
Zatrzymaj się tutaj, jeśli tożsamość jest powiązana z urządzeniem i nie ma ścieżki ponownego wydania. Kontynuowanie ze skopiowanym kluczem kończy się niepowodzeniem uwierzytelniania albo, gorzej, pozostawia te same dane logowania aktywne na dwóch maszynach bez żadnego zapisu tej drugiej.
Nie zostawiaj klucza prywatnego ani kodu odzyskiwania w notatce lub wiadomości na czacie podczas przenoszenia. Użyj pęku kluczy, menedżera haseł lub procesu escrow organizacji i zarejestruj uwierzytelniacz od nowa, zamiast kopiować jego ziarno. Notatka migracyjna zawierająca dane logowania staje się drugą kopią tych danych.
Przygotuj nowego Maca obsługiwaną ścieżką
Jeśli Mac jest zarządzany, zarejestruj go w tym samym systemie zarządzania, zanim dodasz ręczną konfigurację. System zarządzania posiada wymuszony profil, a ręcznie zaimportowany profil na nim tworzy dwa źródła prawdy, które rozjeżdżają się po następnej zmianie zasad.
Na Macu niezarządzanym zainstaluj klienta z aktualnego pobrania dostawcy i zaimportuj profil metodą, którą dokumentuje dostawca. Nowsze wersje macOS wymagają zatwierdzenia konfiguracji VPN i rozszerzeń systemowych w Prywatności i bezpieczeństwie, a rozszerzenie może wymagać ponownego uruchomienia, zanim tunel wystartuje. Apple opisuje ręczną ścieżkę konfiguracji VPN jeśli chcesz porównać ją z aplikacją dostawcy.
Usuń zduplikowane definicje, gdy nowa zacznie działać. Nieaktualny wpis w ustawieniach Sieci i własny profil aplikacji mogą wskazywać ten sam punkt końcowy, a ten, który się łączy, nie zawsze jest tym, który, jak sądzisz, edytowałeś.
Przetestuj ścieżki, których nowy Mac naprawdę będzie używać
Połącz się i potwierdź, że tunel przenosi ruch; następnie sprawdź rozwiązywanie nazw i routing, zamiast ufać ikonie na pasku menu. macOS raportuje resolvery dla każdego interfejsu, więc wewnętrzny serwer DNS powinien pojawić się przy interfejsie tunelu, a nazwy wewnętrzne powinny się przez niego rozwiązywać. Oba polecenia poniżej tylko odczytują stan.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Zatrzymaj się, jeśli wewnętrzna nazwa hosta rozwiązuje się na publiczny adres albo jeśli trasa domyślna nadal wskazuje interfejs fizyczny, gdy projekt zakłada tunel pełny. Oba objawy oznaczają, że profil zaimportowano bez jego tras albo że nadpisuje go inna konfiguracja.
Powtórz test po uśpieniu i po dołączeniu do innej sieci. Połączenie, które przetrwa pierwsze logowanie, ale nie zamknięcie klapy to migracja, która zawiedzie w codziennym użyciu, a wychwycenie tego przed wyczyszczeniem starego Maca jest celem listy kontrolnej.
Wycofaj starego Maca i unieważnij go
Trzymaj stare urządzenie podłączone, aż nowe przejdzie powyższe testy. Następnie unieważnij stare urządzenie w konsoli operatora lub systemie zarządzania; usunięcie aplikacji ze starego Maca nie unieważnia jego tożsamości, a skopiowany profil nadal może się uwierzytelnić.
Po unieważnieniu usuń profile, wyloguj się z konta i wyczyść dysk, jeśli maszyna opuszcza twoją kontrolę. Sprawdź jeszcze raz listę urządzeń dostawcy, aby potwierdzić, że stary wpis zniknął, a nowy jest poprawnie oznaczony.
Jeśli podczas przenoszenia skopiowano wspólny sekret lub dane logowania zespołu, zmień je teraz, zamiast czekać na następną zaplanowaną zmianę. Migracja kończy się, gdy stara tożsamość jest martwa, a nie gdy nowa ikona zmieni kolor na zielony.