Mutarea accesului VPN pe un Mac nou: ce trebuie notat mai întâi

Migrarea eșuează în liniște: conexiunea apare în bara de meniu, profilul se importă, iar autentificarea tot eșuează pentru că noul Mac nu este un dispozitiv autorizat. Macul vechi continuă să funcționeze, ceea ce face ușor de amânat problema până când mașina veche dispare. Un inventar scurt înainte de schimbare previne aproape tot. Notează de ce depinde accesul cât timp încă poți citi asta de pe mașina care funcționează.

Inventariază accesul cât timp Macul vechi încă se conectează

Începe cu clientul și protocolul, nu cu numele conexiunii. Numele este o etichetă aleasă de profilul vechi; versiunea clientului, protocolul și punctul final sunt ceea ce trebuie să reproducă noua mașină. Notează și numele de gazdă exact al punctului final, pentru că o migrare a furnizorului îl poate muta fără să schimbe eticheta.

Intrarea de identitate cântărește cel mai mult. Un nume de utilizator și un cod de unică folosință pot fi introduse pe noul Mac, un certificat cu cheie exportabilă poate fi uneori importat, iar un certificat legat de dispozitiv cu o cheie neexportabilă nu poate fi mutat deloc. Notează care dintre aceste cazuri se aplică înainte de a planifica trecerea. Dacă două dintre aceste răspunsuri nu sunt de acord, rezolvă nepotrivirea înainte de a copia ceva.

În final, notează comportamentul de rețea așteptat: tunel complet sau tunel divizat, ce nume interne trebuie rezolvate și dacă IPv6 ar trebui să circule în interiorul tunelului. Acestea devin testele care decid dacă migrarea a funcționat.

Separă ce poate fi copiat de ce trebuie reemis

Profilurile la nivel de utilizator, adresele de server și preferințele sunt de obicei portabile. Cheile private, certificatele de dispozitiv și tokenurile de înrolare nu sunt, pentru că valoarea lor depinde de legarea de o singură mașină. Tratează-le ca elemente care trebuie reemise și întreabă proprietarul despre calea acceptată. Orice altceva poate fi copiat. Procesul proprietarului, nu asistentul de migrare, decide ce categorie se aplică.

Oprește-te aici dacă identitatea este legată de dispozitiv și nu există nicio rută de reemitere. Continuarea cu o cheie copiată eșuează la autentificare sau, mai rău, lasă aceeași acreditare activă pe două mașini fără nicio înregistrare a celei de-a doua.

Nu lăsa o cheie privată sau un cod de recuperare într-o notă sau într-un mesaj de chat în timpul mutării. Folosește brelocul, managerul de parole sau procesul de escrow al organizației și reînrolează autentificatorul în loc să îi copiezi sămânța. O notă de migrare care conține o acreditare devine o a doua copie a acelei acreditări.

Pregătește noul Mac prin calea acceptată

Dacă Macul este administrat, înrolează-l în același sistem de administrare înainte de a adăuga configurație manuală. Sistemul de administrare deține profilul impus, iar un profil importat manual peste el creează două surse de adevăr care diferă după următoarea schimbare de politică.

Pe un Mac neadministrat, instalează clientul din descărcarea actuală a furnizorului și importă profilul prin metoda documentată de furnizor. Versiunile recente de macOS cer aprobare pentru configurațiile VPN și extensiile de sistem în Confidențialitate și securitate, iar o extensie poate avea nevoie de o repornire înainte ca tunelul să pornească. Apple documentează calea de configurare manuală a VPN dacă vrei să o compari cu aplicația furnizorului.

Elimină definițiile duplicate odată ce noua funcționează. O intrare veche în setările de Rețea și profilul propriu al aplicației pot indica amândouă către același punct final, iar cea care se conectează nu este întotdeauna cea pe care crezi că ai editat-o.

Testează căile pe care noul Mac le va folosi efectiv

Conectează-te și confirmă că tunelul transportă trafic; apoi verifică rezolvarea numelor și rutarea în loc să te bazezi pe pictograma din bara de meniu. macOS raportează resolverii pe interfață, așa că serverul DNS intern ar trebui să apară pe interfața tunelului, iar numele interne ar trebui rezolvate prin el. Ambele comenzi de mai jos doar citesc starea.

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

Oprește-te dacă un nume de gazdă intern se rezolvă într-o adresă publică sau dacă ruta implicită indică în continuare interfața fizică atunci când designul așteaptă un tunel complet. Ambele sunt semne că profilul a fost importat fără rutele sale sau că o altă configurație îl suprascrie.

Repetă testul după repaus și după conectarea la o altă rețea. O conexiune care supraviețuiește primei conectări, dar nu închiderii capacului este o migrare care va eșua în uzul zilnic, iar prinderea acestui lucru înainte de a șterge Macul vechi este scopul listei.

Retrage Macul vechi și revocă-l

Ține dispozitivul vechi conectat până când cel nou trece testele de mai sus. Apoi revocă dispozitivul vechi din consola operatorului sau din sistemul de administrare; ștergerea aplicației de pe Macul vechi nu îi revocă identitatea, iar un profil copiat se poate autentifica în continuare.

După revocare, elimină profilurile, deconectează-te de la cont și șterge discul dacă mașina iese de sub controlul tău. Verifică încă o dată lista de dispozitive a furnizorului pentru a confirma că intrarea veche a dispărut și că cea nouă este etichetată corect.

Dacă în timpul mutării a fost copiat un secret partajat sau o acreditare de echipă, rotește-o acum în loc să aștepți următoarea schimbare programată. Migrarea este terminată când identitatea veche este moartă, nu când pictograma nouă devine verde.