Kaj vsebuje izvoz VPN za Mac in kaj pusti za seboj

Kliknite Export v odjemalcu VPN za Mac in dobite datoteko, ki opisuje povezavo, ne da bi bila povezava. Naslov strežnika, vrata, protokol in pogosto potrdila so v njej. Geslo za prijavo, geslo zasebnega ključa in registracija, ki pooblasti prav ta Mac, običajno niso. Zato se lahko profil čisto uvozi, se pojavi na seznamu odjemalca in kljub temu spodleti pri prvi zahtevi za preverjanje pristnosti; vrzel je lastnost formata, ne poškodovan prenos.

Kaj izvožena datoteka v resnici vsebuje

Izvoz je vsebnik, in končnica datoteke pove manj kot vsebina. Profili OpenVPN so besedilo: direktive plus neobvezni vdelani bloki <ca>, <cert> in <key>. Nastavitve Tunnelblick so stisnjeni arhivi konfiguracij in nastavitev. Upravljani .mobileconfig je plist podatkovnih paketov. Dva seznama odgovorita na večino vprašanja, preden karkoli uvozite.

Za besedilni profil preštejte bloke PEM, ki jih nosi: grep -c "PRIVATE KEY" your-profile.ovpn. Rezultat, ki ni nič, pomeni, da datoteka vsebuje ključni material in jo je od takrat treba obravnavati kot geslo. Za arhiv ga navedite, ne da bi ga razširili: tar -tf export.tbz, ali unzip -l export.zip, če je odjemalec ustvaril zip. Datoteke ključev, datoteke potrdil in skripte za dvig ali spust na tem seznamu so deli, ki jih ponovna izdaja uporabniškega računa ne bo poustvarila.

Nasprotni primer je prav tako pomemben. Ko profil kaže na ključ po imenu datoteke, namesto da bi ga vdelal, je izvoz namenoma nepopoln in manjkajoča polovica mora priti od tistega, ki ga je izdal. Kopiranje te datoteke zraven je v redu, ko imate v lasti potrditveni organ; ni v redu, ko je datoteka prišla s potrdilom, vezanim na napravo, ki je bilo ustvarjeno na starem Macu.

Zakaj polovica iz zbirke ključev nikoli ne potuje

macOS hrani gesla VPN in gesla ključev v prijavni zbirki ključev, odjemalci pa jih shranjujejo tam, namesto v svojih datotekah nastavitev. Tunnelblick to navaja v svojem vodniku za izvoz in uvoz: nastavitveni arhiv prenaša konfiguracije in nastavitve ter izpušča uporabniška imena, gesla in gesla ključev, shranjena v zbirki ključev. Izpustitev je namerna. Elementi zbirke ključev so zaščiteni po uporabniku in po stroju, zato kopirani element na cilju nima veljavnega nadzora dostopa, kar pusti bodisi neuporabno datoteko bodisi skrivnost v čistem besedilu.

Kje živi poverilnica, lahko potrdite, preden načrtujete selitev. security find-internet-password -s vpn.example.com izpiše atribute ustreznega elementa in se konča s kodo, ki ni nič, kadar ga ni; isti ukaz z -g bi zahteval razkritje gesla, zato je poizvedba brez njega varnejše preverjanje. Najdba tam pomeni, da profil ne nosi gesla in ga ni mogoče prisiliti k temu. Pomeni tudi, da bo geslo znova zahtevano na novem Macu, in dovoljenje «Vedno dovoli» na starem tam ne šteje nič.

Ni pa vsaka skrivnost element zbirke ključev. Dokumentacija paketa Tunnelblick ugotavlja, da lahko paket vsebuje datoteke ključev, potrdil in skriptov. Da izvoz izpušča vnose zbirke ključev, torej ni ista trditev kot to, da je izvoz varen za pošiljanje po e-pošti; obravnavajte arhiv kot občutljiv, dokler ne naštejete, kaj je v njem.

Vgrajeni in upravljani VPN-i nimajo izvozne poti

Povezave, konfigurirane prek Sistemskih nastavitev, ne ponujajo podprtega izvoza. scutil --nc list prikaže storitve, ki jih sistem pozna, scutil --nc show "Work VPN" pa izpiše konfiguracijo ene storitve, dovolj za branje njenega strežnika in protokola. Nobeno ni orodje za migracijo. Identifikatorji storitev, shranjeni v /Library/Preferences/SystemConfiguration/preferences.plist, so sklici v to datoteko, zato kopiranje datoteke in prepisovanje identifikatorjev ni podprt prenos in lahko moti nepovezane omrežne storitve na cilju.

Podprta pot je tista, ki jo dokumentira Apple: namestite datoteko z nastavitvami VPN, ki jo zagotovi skrbnik, ali vnesite nastavitve, ki vam jih da operater. Ko je povezava upravljana, zahtevajte novo datoteko ali novo registracijo, namesto da bi jo obnavljali iz posnetka zaslona starega pogovornega okna. Pri profilu, ki ga potiska MDM, lahko podatkovni paket potrdila nosi identiteto, medtem ko se zasebni ključ ustvari na napravi, in v tem primeru tudi brezhibna kopija starega profila ne more overiti novega Maca.

Preverite obnovitev, namesto da zaupate seznamu

Profil na seznamu in delujoč tunel sta dva različna stanja, in le eno od njiju je vredno poročati. Po uvozu in povezavi preverite, ali vmesnik tunela obstaja, nato preverite, kaj tunel počne.

ifconfig | grep -A3 utun prikaže vmesnik tunela in njegove naslove. scutil --dns | grep nameserver prikaže, kateri razreševalniki so po povezavi aktivni, in prav tam se profili split-DNS običajno razlikujejo. Nato dosezite vir, ki je res pomemben: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Če gredo skozi vsi trije, so nastavitve, DNS in poti prispeli; zelena ikona v odjemalcu sama po sebi ne pomeni nič od tega.

Dve napaki se pogosto pojavita po uvozu in obe pripišejo datoteki. Da se javna imena razrešijo, notranja pa ne, običajno pomeni, da so bili strežniki DNS profila izpuščeni ali da split-DNS ni bil ohranjen. Tunel, ki se dvigne in ne spusti prometa, običajno pomeni, da poti ali avtorizacija na strežniški strani niso sledile profilu. Ponovni uvoz istega arhiva poustvari oboje.

Preden upokojite stari Mac

Brisanje izvoza ni preklic. Če se je stara naprava preverjala s potrdilom, strežnik temu potrdilu še vedno zaupa, dokler ni preklicano ali ponovno izdano. Če se je preverjala s skupnim računom, so seje na tem računu morda še žive. Naredite korak na strežniški strani, dokler je strojna oprema še pred vami.

Novi profil shranite z drugimi poverilnicami, ko vsebuje ključ, in vnesite geslo v odjemalec, da pristane v novi zbirki ključev in ne v datoteki. Zadnje preverjanje: povežite se z zamenjavo, ko je stari Mac izklopljen. Predaja, ki deluje le, dokler je izvorni stroj na spletu, nikoli ni bila popolna.