Перенос VPN-доступа на новый Mac: что записать в первую очередь
Скопированное имя подключения — не перенесённая учётная запись. Запишите клиент, источник профиля и путь авторизации, затем настройте и проверьте новый Mac.
Миграция проваливается тихо: подключение появляется в строке меню, профиль импортируется, а аутентификация всё равно не проходит, потому что новый Mac не является авторизованным устройством. Старый Mac продолжает работать, и это позволяет откладывать проблему до тех пор, пока старая машина не исчезнет. Краткая опись, сделанная до перехода, предотвращает большую часть проблем. Запишите, от чего зависит доступ, пока его ещё можно прочитать с работающей машины.
Составьте опись доступа, пока старый Mac ещё подключается
Начните с клиента и протокола, а не с имени подключения. Имя — это ярлык, который выбрал старый профиль; версию клиента, протокол и конечную точку новая машина должна воспроизвести. Запишите также точное имя хоста конечной точки, потому что миграция у провайдера может перенести его, не меняя ярлык.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Запись об идентичности весит больше всего. Имя пользователя и одноразовый код можно ввести на новом Mac, сертификат с экспортируемым ключом иногда удаётся импортировать, а сертификат, привязанный к устройству с неэкспортируемым ключом, перенести нельзя вообще. Запишите, какой из этих случаев у вас, прежде чем планировать переход. Если два из этих ответов расходятся, устраните расхождение, прежде чем что-либо копировать.
Наконец, запишите ожидаемое поведение сети: полный туннель или разделённый туннель, какие внутренние имена должны разрешаться и ожидается ли IPv6 внутри туннеля. Из этого получатся проверки, которые решат, удалась ли миграция.
Отделите то, что можно скопировать, от того, что нужно выпустить заново
Профили уровня пользователя, адреса серверов и настройки обычно переносимы. Закрытые ключи, сертификаты устройств и токены регистрации — нет, потому что их ценность зависит от привязки к одной машине. Считайте их позициями, которые нужно выпустить заново, и спросите владельца о поддерживаемом пути. Всё остальное можно копировать. Категорию определяет процесс владельца, а не мастер миграции.
Остановитесь здесь, если идентичность привязана к устройству и пути для повторного выпуска нет. Продолжение с копированным ключом либо не проходит аутентификацию, либо, что хуже, оставляет одни и те же учётные данные активными на двух машинах без какой-либо записи о второй.
Не оставляйте закрытый ключ или код восстановления в заметке или сообщении чата во время переноса. Используйте связку ключей, менеджер паролей или процедуру escrow организации и зарегистрируйте аутентификатор заново, вместо того чтобы копировать его семя. Заметка о миграции, содержащая учётные данные, становится второй копией этих данных.
Настройте новый Mac поддерживаемым путём
Если Mac управляется, зарегистрируйте его в той же системе управления, прежде чем добавлять ручную конфигурацию. Система управления владеет принудительным профилем, а профиль, импортированный вручную поверх него, создаёт два источника истины, которые расходятся после следующего изменения политики.
На неуправляемом Mac установите клиент из текущей загрузки поставщика и импортируйте профиль методом, который документирует поставщик. Новые версии macOS требуют одобрения конфигураций VPN и системных расширений в разделе «Конфиденциальность и безопасность», а расширению может потребоваться перезагрузка, прежде чем туннель запустится. Apple описывает путь ручной настройки VPN если вы хотите сравнить его с приложением поставщика.
Удалите дублирующиеся определения, когда новый заработает. Устаревшая запись в настройках сети и собственный профиль приложения могут указывать на одну и ту же конечную точку, и подключается не всегда та, которую вы, как вам кажется, редактировали.
Проверьте пути, которые новый Mac действительно будет использовать
Подключитесь и убедитесь, что туннель передаёт трафик; затем проверьте разрешение имён и маршрутизацию, а не полагайтесь на значок в строке меню. macOS сообщает о резолверах по интерфейсам, поэтому внутренний DNS-сервер должен появиться на интерфейсе туннеля, а внутренние имена должны разрешаться через него. Обе команды ниже только читают состояние.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Остановитесь, если внутреннее имя хоста разрешается в публичный адрес или если маршрут по умолчанию по-прежнему указывает на физический интерфейс, когда проект предполагает полный туннель. Оба признака означают, что профиль импортирован без своих маршрутов или что его перекрывает другая конфигурация.
Повторите проверку после сна и после подключения к другой сети. Подключение, которое переживает первый вход, но не закрытие крышки — это миграция, которая подведёт в повседневном использовании, и поймать это до стирания старого Mac и есть смысл контрольного списка.
Выведите старый Mac из эксплуатации и отзовите его
Держите старое устройство подключённым, пока новое не пройдёт проверки выше. Затем отзовите старое устройство через консоль оператора или систему управления; удаление приложения со старого Mac не отзывает его идентичность, и скопированный профиль всё ещё может пройти аутентификацию.
После отзыва удалите профили, выйдите из учётной записи и сотрите диск, если машина покидает ваш контроль. Проверьте список устройств у поставщика ещё раз, чтобы убедиться, что старая запись исчезла, а новая помечена правильно.
Если во время переноса был скопирован общий секрет или командные учётные данные, смените их сейчас, а не ждите следующего планового изменения. Миграция завершена, когда старая идентичность мертва, а не когда новый значок становится зелёным.