Presun prístupu VPN na nový Mac: čo si najprv zapísať
Skopírovaný názov pripojenia nie je migrovaná identita. Zapíšte klienta, zdroj profilu a cestu autorizácie, potom nový Mac pripravte a otestujte.
Migrácia zlyháva potichu: pripojenie sa objaví v paneli ponuky, profil sa naimportuje a overenie napriek tomu zlyhá, pretože nový Mac nie je autorizované zariadenie. Starý Mac ďalej funguje, a tak sa dá zlyhanie ľahko odkladať, kým starý stroj nezmizne. Krátky súpis pred prechodom väčšine zabráni. Zapíšte, od čoho prístup závisí, kým to ešte môžete prečítať z fungujúceho stroja.
Zmapujte prístup, kým sa starý Mac ešte pripája
Začnite klientom a protokolom, nie názvom pripojenia. Názov je štítok, ktorý zvolil starý profil; verzia klienta, protokol a koncový bod sú to, čo musí nový stroj zopakovať. Zapíšte si aj presný názov hostiteľa koncového bodu, pretože migrácia u poskytovateľa ho môže presunúť bez zmeny štítku.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Položka identity váži najviac. Používateľské meno a jednorazový kód sa dajú na novom Macu zadať, certifikát s exportovateľným kľúčom sa niekedy dá importovať a certifikát viazaný na zariadenie s neexportovateľným kľúčom sa nedá preniesť vôbec. Zapíšte, ktorý z týchto prípadov platí, skôr než prechod naplánujete. Ak si dve z týchto odpovedí odporujú, vyriešte rozpor skôr, než čokoľvek skopírujete.
Nakoniec zapíšte očakávané správanie siete: plný tunel alebo rozdelený tunel, ktoré interné názvy sa majú prekladať a či sa očakáva IPv6 vnútri tunela. Z toho sa stanú testy, ktoré rozhodnú, či migrácia fungovala.
Oddeľte, čo sa dá skopírovať, od toho, čo treba vydať znova
Profily na úrovni používateľa, adresy serverov a predvoľby sú zvyčajne prenosné. Súkromné kľúče, certifikáty zariadení a tokeny registrácie nie, pretože ich hodnota závisí od väzby na jeden stroj. Považujte ich za položky na opätovné vydanie a opýtajte sa vlastníka na podporovanú cestu. Všetko ostatné sa dá skopírovať. O kategórii rozhoduje proces vlastníka, nie sprievodca migráciou.
Zastavte sa tu, ak je identita viazaná na zariadenie a neexistuje cesta na opätovné vydanie. Pokračovať so skopírovaným kľúčom buď zlyhá pri overení, alebo, horšie, nechá rovnaké prihlasovacie údaje aktívne na dvoch strojoch bez akéhokoľvek záznamu o tom druhom.
Nenechávajte súkromný kľúč ani obnovovací kód v poznámke alebo chatovej správe počas presunu. Použite kľúčenku, správcu hesiel alebo escrow proces organizácie a autentifikátor zaregistrujte znova, namiesto kopírovania jeho seedu. Migračná poznámka, ktorá obsahuje prihlasovací údaj, sa stáva druhou kópiou tohto údaja.
Pripravte nový Mac podporovanou cestou
Ak je Mac spravovaný, zaregistrujte ho v tom istom systéme správy skôr, než pridáte ručnú konfiguráciu. Systém správy vlastní vynútený profil a ručne importovaný profil nad ním vytvára dva zdroje pravdy, ktoré sa po ďalšej zmene pravidiel rozídu.
Na nespravovanom Macu nainštalujte klienta z aktuálneho stiahnutia poskytovateľa a importujte profil metódou, ktorú poskytovateľ dokumentuje. Novšie verzie macOS vyžadujú schválenie konfigurácií VPN a systémových rozšírení v Súkromí a zabezpečení a rozšírenie môže vyžadovať reštart, kým tunel naštartuje. Apple opisuje ručnú cestu nastavenia VPN ak ju chcete porovnať s aplikáciou poskytovateľa.
Odstráňte duplicitné definície, keď nová funguje. Zastaraný záznam v nastaveniach Siete a vlastný profil aplikácie môžu oba ukazovať na rovnaký koncový bod a ten, ktorý sa pripojí, nie je vždy ten, o ktorom si myslíte, že ste ho upravili.
Otestujte cesty, ktoré nový Mac naozaj použije
Pripojte sa a overte, že tunel prenáša prevádzku; potom skontrolujte preklad názvov a smerovanie, namiesto toho, aby ste verili ikone v paneli ponuky. macOS hlási resolvery pre každé rozhranie, takže interný server DNS by sa mal objaviť pri rozhraní tunela a interné názvy by sa mali prekladať cez neho. Oba príkazy nižšie iba čítajú stav.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Zastavte sa, ak sa interný názov hostiteľa preloží na verejnú adresu alebo ak predvolená trasa stále ukazuje na fyzické rozhranie, keď návrh počíta s plným tunelom. Oba sú znakom toho, že profil bol importovaný bez svojich trás alebo že ho prebíja iná konfigurácia.
Test zopakujte po uspatí a po pripojení k inej sieti. Pripojenie, ktoré prežije prvé prihlásenie, ale nie zavretie veka je migrácia, ktorá v každodennom používaní zlyhá, a odhaliť to pred vymazaním starého Macu je zmyslom kontrolného zoznamu.
Vyraďte starý Mac a zrušte ho
Nechajte staré zariadenie pripojené, kým nové neprejde testami vyššie. Potom staré zariadenie zrušte v konzole operátora alebo v systéme správy; vymazanie aplikácie zo starého Macu jeho identitu nezruší a skopírovaný profil sa stále môže overiť.
Po zrušení odstráňte profily, odhláste sa z účtu a vymažte disk, ak stroj opúšťa vašu kontrolu. Ešte raz skontrolujte zoznam zariadení poskytovateľa, aby ste potvrdili, že starý záznam zmizol a nový je správne označený.
Ak sa počas presunu skopírovalo zdieľané tajomstvo alebo tímové prihlasovacie údaje, otočte ich hneď, namiesto čakania na ďalšiu plánovanú zmenu. Migrácia je hotová, keď je stará identita mŕtva, nie keď nová ikona zozelenie.