Mover o acesso VPN para um Mac novo: o que anotar primeiro

A migração falha em silêncio: a conexão aparece na barra de menus, o perfil é importado e a autenticação continua falhando porque o Mac novo não é um dispositivo autorizado. O Mac antigo continua funcionando, o que torna fácil adiar a falha até a máquina antiga sumir. Um inventário curto antes da troca evita quase tudo. Anote do que o acesso depende enquanto ainda consegue ler isso na máquina que funciona.

Inventarie o acesso enquanto o Mac antigo ainda conecta

Comece pelo cliente e pelo protocolo, não pelo nome da conexão. O nome é um rótulo que o perfil antigo escolheu; a versão do cliente, o protocolo e o endpoint são o que a máquina nova precisa reproduzir. Anote também o nome de host exato do endpoint, porque uma migração do provedor pode movê-lo sem alterar o rótulo.

A entrada de identidade é a que mais pesa. Um nome de usuário e um código de uso único podem ser digitados no Mac novo, um certificado com chave exportável às vezes pode ser importado, e um certificado vinculado ao dispositivo com chave não exportável não pode ser movido de jeito nenhum. Anote qual desses casos você tem antes de planejar a troca. Se duas dessas respostas não concordarem, resolva a divergência antes de copiar qualquer coisa.

Por fim, anote o comportamento de rede esperado: túnel completo ou túnel dividido, quais nomes internos precisam resolver e se o IPv6 deve circular dentro do túnel. Isso vira os testes que decidem se a migração funcionou.

Separe o que pode ser copiado do que precisa ser reemitido

Perfis no nível do usuário, endereços de servidor e preferências costumam ser portáveis. Chaves privadas, certificados de dispositivo e tokens de inscrição não são, porque o valor deles depende de estar vinculado a uma única máquina. Trate-os como itens que precisam ser reemitidos e pergunte ao responsável pelo caminho suportado. Todo o resto pode ser copiado. O processo do responsável, não o assistente de migração, decide qual categoria se aplica.

Pare aqui se a identidade estiver vinculada ao dispositivo e não houver caminho de reemissão. Continuar com uma chave copiada falha na autenticação ou, pior, deixa a mesma credencial ativa em duas máquinas sem registro da segunda.

Não deixe uma chave privada nem um código de recuperação em uma nota ou mensagem de chat durante a mudança. Use o chaveiro, o gerenciador de senhas ou o processo de custódia da organização, e inscreva o autenticador de novo em vez de copiar a semente. Uma nota de migração que contém uma credencial se torna uma segunda cópia dessa credencial.

Prepare o Mac novo pelo caminho suportado

Se o Mac for gerenciado, inscreva-o no mesmo sistema de gerenciamento antes de adicionar configuração manual. O sistema de gerenciamento é dono do perfil imposto, e um perfil importado à mão por cima dele cria duas fontes de verdade que divergem após a próxima mudança de política.

Em um Mac não gerenciado, instale o cliente pelo download atual do fornecedor e importe o perfil pelo método que o fornecedor documenta. Versões recentes do macOS exigem aprovação para configurações de VPN e extensões de sistema em Privacidade e Segurança, e uma extensão pode precisar de reinicialização antes de o túnel iniciar. A Apple documenta o caminho de configuração manual de VPN se você precisar compará-lo com o app do fornecedor.

Remova definições duplicadas quando a nova funcionar. Uma entrada obsoleta nos ajustes de Rede e o próprio perfil do app podem apontar para o mesmo endpoint, e a que conecta nem sempre é a que você acha que editou.

Teste os caminhos que o Mac novo realmente vai usar

Conecte e confirme que o túnel transporta tráfego; depois verifique a resolução de nomes e o roteamento em vez de confiar no ícone da barra de menus. O macOS informa resolvedores por interface, então o servidor DNS interno deve aparecer na interface do túnel e os nomes internos devem resolver por ele. Ambos os comandos abaixo só leem o estado.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Pare se um nome de host interno resolver para um endereço público ou se a rota padrão continuar apontando para a interface física quando o projeto espera um túnel completo. Ambos são sinais de que o perfil foi importado sem suas rotas ou de que outra configuração está sobrepondo-o.

Repita o teste depois da suspensão e depois de entrar em outra rede. Uma conexão que sobrevive ao primeiro login mas não ao fechamento da tampa é uma migração que vai falhar no uso diário, e detectar isso antes de apagar o Mac antigo é o objetivo da lista.

Aposente o Mac antigo e revogue-o

Mantenha o dispositivo antigo conectado até o novo passar nos testes acima. Depois revogue o dispositivo antigo pelo console do operador ou pelo sistema de gerenciamento; apagar o app do Mac antigo não revoga a identidade dele, e um perfil copiado ainda pode autenticar.

Após a revogação, remova os perfis, saia da conta e apague o disco se a máquina estiver saindo do seu controle. Verifique mais uma vez a lista de dispositivos do fornecedor para confirmar que a entrada antiga sumiu e que a nova está rotulada corretamente.

Se um segredo compartilhado ou uma credencial de equipe foi copiada durante a mudança, rotacione-a agora em vez de esperar a próxima alteração agendada. A migração termina quando a identidade antiga está morta, não quando o ícone novo fica verde.