Çfarë përmban një eksport VPN për Mac dhe çfarë lë pas
Një eksport VPN për Mac mbart cilësime dhe ndonjëherë një çelës privat, por jo fjalëkalimin e vargut të çelësave ose regjistrimin e pajisjes. Kontrolloni fillimisht çdo pjesë.
Klikoni Export në një klient VPN për Mac dhe merrni një skedar që përshkruan një lidhje pa qenë vetë lidhje. Adresa e serverit, porta, protokolli dhe shpesh certifikatat janë brenda tij. Fjalëkalimi i hyrjes, fraza e fjalëkalimit të një çelësi privat dhe regjistrimi që autorizon pikërisht këtë Mac zakonisht nuk janë. Prandaj një profil mund të importohet pastër, të shfaqet në listën e klientit dhe gjithsesi të dështojë në kërkesën e parë të vërtetimit; kjo boshllëk është veti e formatit, jo shkarkim i korruptuar.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Çfarë përmban në të vërtetë skedari i eksportuar
Një eksport është një kontejner, dhe zgjatimi i skedarit thotë më pak se përmbajtja. Profilet OpenVPN janë tekst: direktiva, plus blloqe inline opsionale <ca>, <cert> dhe <key>. Konfigurimet Tunnelblick janë arkiva të kompresuara konfigurimesh dhe cilësimesh. Një .mobileconfig i menaxhuar është një plist ngarkesash. Dy listime i përgjigjen pjesës më të madhe të pyetjes përpara se të importoni diçka.
Për një profil teksti, numëroni blloqet PEM që mbart: grep -c "PRIVATE KEY" your-profile.ovpn. Një rezultat jo zero do të thotë që skedari përmban material çelësi dhe duhet trajtuar si fjalëkalim që nga ai moment. Për një arkiv, listojeni pa e nxjerrë: tar -tf export.tbz, ose unzip -l export.zip nëse klienti prodhoi një zip. Skedarët e çelësave, skedarët e certifikatave dhe skriptet e ngritjes ose uljes në atë listim janë pjesët që një riemërtim i llogarisë së përdoruesit nuk do t'i rikrijojë.
Rasti i kundërt ka të njëjtën rëndësi. Kur profili tregon një çelës sipas emrit të skedarit në vend që ta integrojë, eksporti është qëllimisht i paplotë dhe gjysma që mungon duhet të vijë nga ai që e lëshoi. Kopjimi i atij skedari pranë është në rregull kur zotëroni autoritetin e certifikimit; nuk është në rregull kur skedari erdhi me një certifikatë të lidhur me pajisjen që u gjenerua në Mac-un e vjetër.
Pse gjysma e vargut të çelësave nuk udhëton kurrë
macOS i mban fjalëkalimet e VPN dhe frazat e fjalëkalimit të çelësave në vargun e çelësave të hyrjes, dhe klientët i ruajnë atje në vend të skedarëve të tyre të cilësimeve. Tunnelblick e thotë këtë në udhëzuesin e tij të eksportit dhe importit: arkivi i konfigurimit mbart konfigurime dhe cilësime dhe lë jashtë emrat e përdoruesve, fjalëkalimet dhe frazat e fjalëkalimit që mbahen në vargun e çelësave. Heqja është e qëllimshme. Elementet e vargut të çelësave mbrohen për çdo përdorues dhe çdo makinë, kështu që një element i kopjuar nuk ka kontroll të vlefshëm aksesi në destinacion, gjë që lë ose një skedar të padobishëm ose një sekret në tekst të thjeshtë.
Mund të konfirmoni ku jeton kredenciali përpara se të planifikoni zhvendosjen. security find-internet-password -s vpn.example.com shtyp atributet e një elementi përputhës dhe përfundon me një kod jo zero kur nuk ka asnjë; e njëjta komandë me -g do të kërkonte zbulimin e fjalëkalimit, prandaj pyetja pa të është kontrolli më i sigurt. Një gjetje atje do të thotë që profili nuk e mbart fjalëkalimin dhe nuk mund të detyrohet ta bëjë këtë. Do të thotë gjithashtu se fjalëkalimi do të kërkohet përsëri në Mac-un e ri, dhe një leje «Gjithmonë lejo» në atë të vjetër nuk vlen asgjë atje.
Nuk është çdo sekret një element i vargut të çelësave, megjithatë. Dokumentacioni i paketës së vetë Tunnelblick vëren se një paketë mund të përmbajë skedarë çelësi, certifikate dhe skripti. Pra, fakti që eksporti përjashton hyrjet e vargut të çelësave nuk është i njëjti pohim me atë që eksporti është i sigurt për t'u dërguar me email; trajtojeni arkivin si të ndjeshëm derisa të listoni çfarë përmban.
VPN-të vendase dhe të menaxhuara nuk kanë rrugë eksporti
Lidhjet e konfiguruara përmes Cilësimeve të Sistemit nuk ofrojnë një eksport të mbështetur. scutil --nc list shfaq shërbimet që sistemi njeh, dhe scutil --nc show "Work VPN" shtyp konfigurimin e një shërbimi, mjaftueshëm për të lexuar serverin dhe protokollin e tij. Asnjëra nuk është mjet migrimi. Identifikuesit e shërbimit të ruajtur në /Library/Preferences/SystemConfiguration/preferences.plist janë referenca brenda atij skedari, kështu që kopjimi i skedarit dhe rishkrimi i identifikuesve nuk është transferim i mbështetur dhe mund të prishë shërbime rrjeti të palidhura në destinacion.
Rruga e mbështetur është ajo që dokumenton Apple: instaloni një skedar cilësimesh VPN të siguruar nga administratori, ose futni cilësimet që ju jep operatori. Kur lidhja është e menaxhuar, kërkoni një skedar të freskët ose një regjistrim të freskët në vend që ta rindërtoni nga një pamje ekrani e dialogut të vjetër. Për një profil të shtyrë nga MDM, ngarkesa e certifikatës mund të mbartë identitetin ndërsa çelësi privat gjenerohet në pajisje, dhe në atë rast as edhe një kopje e përsosur e profilit të vjetër nuk mund të vërtetojë Mac-un e ri.
Verifikoni rikthimin në vend që t'i besoni listës
Një profil në listë dhe një tunel që funksionon janë dy gjendje të ndryshme, dhe vetëm njëra prej tyre ia vlen të raportohet. Pas importimit dhe lidhjes, kontrolloni që ndërfaqja e tunelit ekziston, pastaj kontrolloni çfarë po bën tuneli.
ifconfig | grep -A3 utun shfaq ndërfaqen e tunelit dhe adresat e tij. scutil --dns | grep nameserver shfaq cilët zgjidhës janë aktivë pas lidhjes, dhe pikërisht aty profilet split-DNS zakonisht ndryshojnë. Pastaj arrini burimin që ka vërtet rëndësi: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Nëse të tre kalojnë, cilësimet, DNS dhe rrugët kanë mbërritur; një ikonë e gjelbër në klient nuk do të thotë asgjë prej kësaj më vete.
Dy dështime shfaqen shpesh pas një importi dhe të dyja i vishen skedarit. Fakti që emrat publikë zgjidhen ndërsa ata të brendshëm jo zakonisht do të thotë që serverët DNS të profilit u hoqën ose split-DNS nuk u ruajt. Një tunel që ngrihet dhe nuk kalon asnjë trafik zakonisht do të thotë që rrugët ose autorizimi nga ana e serverit nuk e ndoqën profilin. Riimportimi i të njëjtit arkiv riprodhon të dyja.
Përpara se të nxisni Mac-un e vjetër
Fshirja e eksportit nuk është revokim. Nëse pajisja e vjetër vërtetohej me certifikatë, serveri vazhdon t'i besojë asaj certifikate derisa të revokohet ose të rileshohet. Nëse vërtetohej me një llogari të përbashkët, sesionet në atë llogari mund të jenë ende të gjalla. Bëni hapin nga ana e serverit ndërsa hardueri është ende përpara jush.
Ruani profilin e ri me kredencialet e tjera kur përmban një çelës, dhe shkruani fjalëkalimin në klient që të përfundojë në vargun e ri të çelësave dhe jo në një skedar. Kontrolli i fundit: lidhuni nga zëvendësi me Mac-un e vjetër të fikur. Një dorëzim që funksionon vetëm sa kohë makina burimore është në linjë nuk ishte kurrë i plotë.