Čo obsahuje export VPN z Macu a čo zanecháva za sebou
Export VPN z Macu prenáša nastavenia a niekedy súkromný kľúč, ale nie heslo zväzku kľúčov ani registráciu zariadenia. Najprv skontrolujte každú časť.
Kliknite na Export v klientovi VPN pre Mac a získate súbor, ktorý opisuje pripojenie bez toho, aby ním bol. Adresa servera, port, protokol a často certifikáty sú vnútri. Prihlasovacie heslo, prístupová fráza súkromného kľúča a registrácia, ktorá oprávňuje práve tento Mac, zvyčajne nie. Preto sa profil môže čisto importovať, objaviť v zozname klienta a napriek tomu zlyhať pri prvej výzve na overenie; medzera je vlastnosťou formátu, nie poškodeným prevzatím.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Čo exportovaný súbor skutočne obsahuje
Export je kontajner a prípona súboru hovorí menej ako obsah. Profily OpenVPN sú text: direktívy plus voliteľné vložené bloky <ca>, <cert> a <key>. Nastavenia Tunnelblick sú komprimované archívy konfigurácií a nastavení. Spravovaný .mobileconfig je plist s dátovými jednotkami. Dva výpisy odpovedajú na väčšinu otázky, skôr než čokoľvek importujete.
Pri textovom profile spočítajte bloky PEM, ktoré nesie: grep -c "PRIVATE KEY" your-profile.ovpn. Nenulový výsledok znamená, že súbor obsahuje kľúčový materiál a od tej chvíle sa s ním musí zaobchádzať ako s heslom. Pri archíve ho vypíšte bez rozbalenia: tar -tf export.tbz, alebo unzip -l export.zip, ak klient vytvoril zip. Súbory kľúčov, certifikátov a skripty na zapnutie či vypnutie v tomto výpise sú časti, ktoré opätovné vydanie používateľského konta nevytvorí.
Opačný prípad je rovnako dôležitý. Keď profil odkazuje na kľúč podľa názvu súboru namiesto jeho vloženia, export je zámerne neúplný a chýbajúca polovica musí prísť od toho, kto ho vydal. Kopírovať tento súbor vedľa je v poriadku, keď vlastníte certifikačnú autoritu; nie je v poriadku, keď súbor prišiel s certifikátom viazaným na zariadenie, ktorý bol vytvorený na starom Macu.
Prečo polovica zo zväzku kľúčov nikdy necestuje
macOS ukladá heslá VPN a prístupové frázy kľúčov do prihlasovacieho zväzku kľúčov a klienti ich ukladajú tam namiesto vlastných súborov nastavení. Tunnelblick to hovorí vo svojom sprievodcovi exportom a importom: archív nastavení prenáša konfigurácie a nastavenia a vynecháva používateľské mená, heslá a prístupové frázy uložené vo zväzku kľúčov. Vynechanie je zámerné. Položky zväzku kľúčov sú chránené na používateľa a na stroj, takže kopírovaná položka nemá v cieli platnú kontrolu prístupu, čo ponecháva buď nepoužiteľný súbor, alebo tajomstvo v čistom texte.
Môžete potvrdiť, kde žije poverenie, skôr než naplánujete presun. security find-internet-password -s vpn.example.com vypíše atribúty zodpovedajúcej položky a skončí s nenulovým kódom, keď žiadna nie je; ten istý príkaz s -g by žiadal odhalenie hesla, preto je otázka bez neho bezpečnejšia kontrola. Nález tam znamená, že profil heslo nenesie a nemožno ho k tomu prinútiť. Znamená to tiež, že heslo sa znova vyžiada na novom Macu, a povolenie «Vždy povoliť» na starom tam nič neznamená.
Nie každé tajomstvo je však položka zväzku kľúčov. Vlastná dokumentácia balíka Tunnelblick poznamenáva, že balík môže obsahovať súbory kľúčov, certifikátov a skriptov. Takže export, ktorý vylučuje položky zväzku kľúčov, nie je to isté tvrdenie ako to, že export je bezpečný na odoslanie e-mailom; považujte archív za citlivý, kým nevypíšete, čo v ňom je.
Natívne a spravované VPN nemajú cestu exportu
Pripojenia konfigurované cez Systémové nastavenia neponúkajú podporovaný export. scutil --nc list zobrazuje služby, ktoré systém pozná, a scutil --nc show "Work VPN" vypíše konfiguráciu jednej služby, dosť na prečítanie jej servera a protokolu. Ani jedno nie je nástroj migrácie. Identifikátory služieb uložené v /Library/Preferences/SystemConfiguration/preferences.plist sú odkazy do tohto súboru, takže kopírovanie súboru a prepisovanie identifikátorov nie je podporovaný prenos a môže narušiť nesúvisiace sieťové služby v cieli.
Podporovaná cesta je tá, ktorú dokumentuje Apple: nainštalujte súbor nastavení VPN poskytnutý správcom alebo zadajte nastavenia, ktoré vám dá operátor. Keď je pripojenie spravované, požiadajte o nový súbor alebo novú registráciu namiesto opätovného zostavenia zo snímky obrazovky starého dialógu. Pri profile tlačenom MDM môže dátová jednotka certifikátu niesť identitu, zatiaľ čo súkromný kľúč sa generuje na zariadení, a v tom prípade ani bezchybná kópia starého profilu nemôže overiť nový Mac.
Overte obnovenie namiesto dôvery v zoznam
Profil v zozname a fungujúci tunel sú dva rôzne stavy a len jeden z nich stojí za hlásenie. Po importe a pripojení skontrolujte, či rozhranie tunela existuje, a potom skontrolujte, čo tunel robí.
ifconfig | grep -A3 utun zobrazí rozhranie tunela a jeho adresy. scutil --dns | grep nameserver zobrazí, ktoré prekladače sú po pripojení aktívne, a práve tam sa profily so split-DNS zvyčajne rozchádzajú. Potom dosiahnite zdroj, na ktorom skutočne záleží: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ak prejdú všetky tri, nastavenia, DNS a trasy dorazili; zelená ikona v klientovi sama o sebe neznamená nič z toho.
Dve zlyhania sa po importe objavujú často a obe sa zvaľujú na súbor. To, že verejné mená sa prekladajú a interné nie, zvyčajne znamená, že DNS servery profilu sa stratili alebo split-DNS sa nezachoval. Tunel, ktorý sa zdvihne a neprepustí žiadnu premávku, zvyčajne znamená, že trasy alebo autorizácia na strane servera nenasledovali profil. Opätovný import toho istého archívu reprodukuje oboje.
Skôr než starý Mac vyradíte
Odstránenie exportu nie je odvolanie. Ak sa staré zariadenie overovalo certifikátom, server tomuto certifikátu stále dôveruje, kým nie je odvolaný alebo znovu vydaný. Ak sa overovalo zdieľaným kontom, relácie na tomto konte môžu byť stále živé. Urobte krok na strane servera, kým je hardvér ešte pred vami.
Nový profil uložte s ostatnými povereniami, keď obsahuje kľúč, a napíšte heslo do klienta, aby skončilo v novom zväzku kľúčov, a nie v súbore. Posledná kontrola: pripojte sa z náhrady so starým Macom vypnutým. Odovzdanie, ktoré funguje len vtedy, keď je zdrojový stroj online, nikdy nebolo úplné.