Ce conține un export VPN de Mac și ce lasă în urmă
Un export VPN de Mac transportă setări și uneori o cheie privată, dar nu parola din breloc sau înregistrarea dispozitivului. Verificați mai întâi fiecare parte.
Faceți clic pe Export într-un client VPN de Mac și obțineți un fișier care descrie o conexiune fără a fi una. Adresa serverului, portul, protocolul și adesea certificatele sunt în interior. Parola de autentificare, fraza de acces a unei chei private și înregistrarea care autorizează exact acest Mac de obicei nu. De aceea un profil se poate importa curat, poate apărea în lista clientului și tot poate eșua la prima cerere de autentificare; diferența este o proprietate a formatului, nu o descărcare coruptă.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Ce conține de fapt fișierul exportat
Un export este un container, iar extensia fișierului spune mai puțin decât conținutul. Profilurile OpenVPN sunt text: directive, plus blocuri inline opționale <ca>, <cert> și <key>. Configurările Tunnelblick sunt arhive comprimate de configurații și setări. Un .mobileconfig administrat este un plist de încărcături utile. Două listări răspund la cea mai mare parte a întrebării înainte de a importa ceva.
Pentru un profil text, numărați blocurile PEM pe care le poartă: grep -c "PRIVATE KEY" your-profile.ovpn. Un rezultat diferit de zero înseamnă că fișierul conține material de cheie și trebuie tratat ca o parolă din acel moment. Pentru o arhivă, listați-o fără a o extrage: tar -tf export.tbz, sau unzip -l export.zip dacă clientul a produs un zip. Fișierele de cheie, fișierele de certificat și scripturile de urcare sau coborâre din acea listare sunt părțile pe care o reemitere a contului de utilizator nu le va recrea.
Cazul opus contează la fel de mult. Când profilul indică o cheie după numele fișierului în loc să o încorporeze, exportul este incomplet intenționat, iar jumătatea lipsă trebuie să vină de la cel care a emis-o. Copierea acelui fișier alături este în regulă când dețineți autoritatea de certificare; nu este în regulă când fișierul a venit cu un certificat legat de dispozitiv, generat pe Macul vechi.
De ce jumătatea din breloc nu călătorește niciodată
macOS păstrează parolele VPN și frazele de acces ale cheilor în brelocul de autentificare, iar clienții le stochează acolo în locul propriilor fișiere de setări. Tunnelblick spune asta în ghidul său de export și import: arhiva de configurare transportă configurații și setări și lasă afară numele de utilizator, parolele și frazele de acces păstrate în breloc. Omiterea este deliberată. Elementele brelocului sunt protejate pe utilizator și pe mașină, așa că un element copiat nu are control de acces valid la destinație, ceea ce lasă fie un fișier inutil, fie un secret în text simplu.
Puteți confirma unde locuiește acreditarea înainte de a planifica mutarea. security find-internet-password -s vpn.example.com tipărește atributele unui element potrivit și se termină cu un cod diferit de zero când nu există niciunul; aceeași comandă cu -g ar cere dezvăluirea parolei, de aceea interogarea fără ea este verificarea mai sigură. O potrivire acolo înseamnă că profilul nu poartă parola și nu poate fi forțat să o facă. Înseamnă și că parola va fi cerută din nou pe Macul nou, iar o autorizare «Permite întotdeauna» pe cel vechi nu contează acolo.
Nu orice secret este însă un element de breloc. Documentația pachetului Tunnelblick notează că un pachet poate conține fișiere de cheie, certificat și script. Deci faptul că exportul exclude intrările din breloc nu este aceeași afirmație cu faptul că exportul este sigur de trimis prin e-mail; tratați arhiva ca sensibilă până când ați listat ce conține.
VPN-urile native și administrate nu au cale de export
Conexiunile configurate prin Setările Sistemului nu oferă un export acceptat. scutil --nc list arată serviciile pe care le cunoaște sistemul, iar scutil --nc show "Work VPN" tipărește configurația unui serviciu, suficient pentru a-i citi serverul și protocolul. Niciuna nu este un instrument de migrare. Identificatorii de serviciu stocați în /Library/Preferences/SystemConfiguration/preferences.plist sunt referințe în acel fișier, așa că copierea fișierului și rescrierea identificatorilor nu este un transfer acceptat și poate perturba servicii de rețea fără legătură la destinație.
Calea acceptată este cea documentată de Apple: instalați un fișier de setări VPN furnizat de administrator sau introduceți setările pe care vi le dă operatorul. Când conexiunea este administrată, cereți un fișier nou sau o înregistrare nouă în loc să o reconstruiți dintr-o captură a vechiului dialog. Pentru un profil împins de MDM, încărcătura certificatului poate purta identitatea în timp ce cheia privată este generată pe dispozitiv, iar în acest caz nici măcar o copie impecabilă a profilului vechi nu poate autentifica Macul nou.
Verificați restaurarea în loc să aveți încredere în listă
Un profil în listă și un tunel funcțional sunt două stări diferite, și doar una merită raportată. După import și conectare, verificați că interfața tunelului există, apoi verificați ce face tunelul.
ifconfig | grep -A3 utun arată interfața tunelului și adresele acesteia. scutil --dns | grep nameserver arată ce rezolvatori sunt activi după conectare, și acolo profilele split-DNS diferă de obicei. Apoi atingeți resursa care contează cu adevărat: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Dacă toate trei trec, setările, DNS-ul și rutele au ajuns; o pictogramă verde în client nu înseamnă nimic din toate acestea de la sine.
Două eșecuri apar des după un import și ambele sunt puse pe seama fișierului. Faptul că numele publice se rezolvă, iar cele interne nu, înseamnă de obicei că serverele DNS ale profilului au fost pierdute sau că split-DNS nu a fost păstrat. Un tunel care urcă și nu lasă trafic să treacă înseamnă de obicei că rutele sau autorizarea din partea serverului nu au urmat profilul. Reimportarea aceleiași arhive le reproduce pe amândouă.
Înainte de a retrage Macul vechi
Ștergerea exportului nu este revocare. Dacă dispozitivul vechi se autentifica cu un certificat, serverul încă are încredere în acel certificat până când este revocat sau reemis. Dacă se autentifica cu un cont partajat, sesiunile pe acel cont pot fi încă active. Faceți pasul din partea serverului cât timp hardware-ul este încă în fața dumneavoastră.
Păstrați profilul nou cu celelalte acreditări când conține o cheie, și tastați parola în client ca să ajungă în brelocul nou, nu într-un fișier. Ultima verificare: conectați-vă de pe înlocuitor cu Macul vechi oprit. O predare care funcționează doar cât timp mașina sursă este online nu a fost niciodată completă.