Selitev dostopa VPN na novi Mac: kaj najprej zapisati
Kopirano ime povezave ni migrirana identiteta. Zapišite odjemalca, vir profila in potrditveno pot, nato pripravite in preizkusite novi Mac.
Selitev spodleti tiho: povezava se pojavi v menijski vrstici, profil se uvozi, preverjanje pristnosti pa še vedno spodleti, ker novi Mac ni pooblaščena naprava. Stari Mac še naprej deluje, zato je napako lahko odlagati, dokler starega stroja ne bo več. Kratek popis pred zamenjavo prepreči večino tega. Zapišite, od česa je dostop odvisen, dokler to še lahko preberete z delujočega stroja.
Popišite dostop, dokler se stari Mac še povezuje
Začnite z odjemalcem in protokolom, ne z imenom povezave. Ime je oznaka, ki jo je izbral stari profil; različica odjemalca, protokol in končna točka so tisto, kar mora novi stroj ponoviti. Zapišite tudi natančno ime gostitelja končne točke, saj ga lahko selitev pri ponudniku premakne, ne da bi se oznaka spremenila.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Vnos identitete tehta največ. Uporabniško ime in enkratno kodo lahko vnesete na novem Macu, potrdilo z izvozljivim ključem je včasih mogoče uvoziti, potrdila, vezanega na napravo z neizvozljivim ključem, pa ni mogoče premakniti sploh. Zapišite, kateri od teh primerov velja, preden načrtujete prehod. Če si dva od teh odgovorov nasprotujeta, razrešite neskladje, preden kar koli kopirate.
Nazadnje zapišite pričakovano vedenje omrežja: polni tunel ali razdeljeni tunel, katera interna imena se morajo razrešiti in ali se pričakuje IPv6 znotraj tunela. Iz tega bodo nastali testi, ki bodo odločili, ali je selitev uspela.
Ločite, kaj je mogoče kopirati, od tega, kar je treba izdati znova
Profili na ravni uporabnika, naslovi strežnikov in nastavitve so običajno prenosljivi. Zasebni ključi, potrdila naprav in žetoni za vpis niso, ker je njihova vrednost odvisna od vezanosti na en stroj. Obravnavajte jih kot postavke za ponovno izdajo in vprašajte lastnika za podprto pot. Vse drugo je mogoče kopirati. Kategorijo določi lastnikov postopek, ne čarovnik za selitev.
Ustavite se tukaj, če je identiteta vezana na napravo in ni poti za ponovno izdajo. Nadaljevanje s kopiranim ključem spodleti pri preverjanju pristnosti ali, še huje, pusti iste poverilnice aktivne na dveh strojih brez kakršnega koli zapisa o drugem.
Med selitvijo ne puščajte zasebnega ključa ali obnovitvenega koda v beležki ali klepetalnem sporočilu. Uporabite ključavnico, upravitelja gesel ali skrbniški postopek organizacije in overjevalnik znova vpišite, namesto da kopirate njegovo seme. Selitvena beležka, ki vsebuje poverilnice, postane druga kopija teh poverilnic.
Pripravite novi Mac po podprti poti
Če je Mac upravljan, ga vpišite v isti sistem upravljanja, preden dodate ročno konfiguracijo. Sistem upravljanja ima vsiljeni profil, ročno uvožen profil pa ustvari dva vira resnice, ki se po naslednji spremembi pravilnika razideta.
Na neupravljanem Macu namestite odjemalca iz trenutnega prenosa ponudnika in uvozite profil po metodi, ki jo ponudnik dokumentira. Novejše različice macOS zahtevajo odobritev konfiguracij VPN in sistemskih razširitev v Zasebnosti in varnosti, razširitev pa lahko zahteva ponovni zagon, preden se tunel zažene. Apple opisuje ročno pot za nastavitev VPN če jo želite primerjati z aplikacijo ponudnika.
Ko nova deluje, odstranite podvojene opredelitve. Zastarel vnos v nastavitvah Omrežja in lastni profil aplikacije lahko kažeta na isto končno točko, tisti, ki se poveže, pa ni vedno tisti, za katerega mislite, da ste ga uredili.
Preizkusite poti, ki jih bo novi Mac dejansko uporabljal
Povežite se in potrdite, da tunel prenaša promet; nato preverite razreševanje imen in usmerjanje, namesto da bi zaupali ikoni v menijski vrstici. macOS poroča o razreševalnikih za vsak vmesnik, zato bi se moral notranji strežnik DNS pojaviti pri vmesniku tunela, notranja imena pa bi se morala razreševati prek njega. Oba spodnja ukaza samo bereta stanje.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Ustavite se, če se notranje ime gostitelja razreši v javni naslov ali če privzeta pot še vedno kaže na fizični vmesnik, ko zasnova pričakuje polni tunel. Oboje kaže, da je bil profil uvožen brez svojih poti ali da ga preglasi druga konfiguracija.
Test ponovite po mirovanju in po povezavi v drugo omrežje. Povezava, ki preživi prvo prijavo, ne pa zaprtja pokrova je selitev, ki bo v vsakodnevni uporabi spodletela, in prav to ujeti pred brisanjem starega Maca je smisel kontrolnega seznama.
Umaknite stari Mac in ga prekličite
Pustite staro napravo povezano, dokler nova ne prestane zgornjih testov. Nato prekličite staro napravo v konzoli operaterja ali v sistemu upravljanja; brisanje aplikacije s starega Maca ne prekliče njegove identitete in kopirani profil se lahko še vedno overi.
Po preklicu odstranite profile, odjavite se iz računa in izbrišite disk, če stroj zapušča vaš nadzor. Še enkrat preverite seznam naprav pri ponudniku, da potrdite, da je stari vnos izginil in da je novi pravilno označen.
Če je bila med selitvijo kopirana skupna skrivnost ali ekipne poverilnice, jih zavrtite zdaj, namesto da čakate na naslednjo načrtovano spremembo. Selitev je končana, ko je stara identiteta mrtva, ne ko nova ikona postane zelena.