Премештање VPN приступа на нови Mac: шта прво записати
Копирани назив везе није мигрирани идентитет. Запишите клијента, извор профила и пут ауторизације, затим припремите и тестирајте нови Mac.
Миграција тихо не успева: веза се појави у траци менија, профил се увезе, а аутентикација и даље не успева јер нови Mac није овлашћени уређај. Стари Mac наставља да ради, што олакшава одлагање квара док стари уређај не нестане. Кратак списак пре преласка спречава већину тога. Запишите од чега приступ зависи док то још можете прочитати са радног уређаја.
Попишите приступ док се стари Mac још повезује
Почните са клијентом и протоколом, а не са називом везе. Назив је ознака коју је изабрао стари профил; верзија клијента, протокол и крајња тачка су оно што нови уређај мора да репродукује. Запишите и тачан назив хоста крајње тачке, јер миграција код пружаоца услуга може да га премести без промене ознаке.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Унос идентитета носи највећу тежину. Корисничко име и једнократни код могу се унети на новом Mac-у, сертификат са извозним кључем понекад се може увести, а сертификат везан за уређај са неизвозним кључем не може се преместити уопште. Запишите који од тих случајева имате пре планирања преласка. Ако се два од тих одговора не слажу, решите неслагање пре него што било шта копирате.
На крају запишите очекивано понашање мреже: пуни тунел или подељени тунел, која интерна имена морају да се разреше и да ли се очекује IPv6 унутар тунела. Од тога настају тестови који одлучују да ли је миграција успела.
Одвојите шта се може копирати од онога што мора поново да се изда
Профили на нивоу корисника, адресе сервера и поставке обично су преносиви. Приватни кључеви, сертификати уређаја и токени за упис нису, јер њихова вредност зависи од везаности за један уређај. Третирајте их као ставке које треба поново издати и питајте власника за подржани пут. Све остало може да се копира. Категорију одређује власников поступак, а не чаробњак за миграцију.
Зауставите се овде ако је идентитет везан за уређај и не постоји пут за поновно издавање. Наставак са копираним кључем не успева при аутентикацији или, још горе, оставља исте акредитиве активним на два уређаја без икаквог записа о другом.
Не остављајте приватни кључ ни код за опоравак у белешци или поруци током премештања. Користите привезак кључева, менаџер лозинки или escrow поступак организације и поново упишите аутентикатор уместо да копирате његово семе. Миграцијска белешка која садржи акредитиве постаје друга копија тих акредитива.
Припремите нови Mac подржаним путем
Ако је Mac под управљањем, упишите га у исти систем управљања пре додавања ручне конфигурације. Систем управљања поседује наметнути профил, а ручно увезен профил преко њега ствара два извора истине који се разилазе након следеће промене правила.
На Mac-у који није под управљањем инсталирајте клијента из тренутног преузимања пружаоца услуга и увезите профил методом коју пружалац документује. Нове верзије macOS-а захтевају одобрење конфигурација VPN-а и системских проширења у Приватности и безбедности, а проширење може да захтева поновно покретање пре него што тунел крене. Apple описује ручни пут за подешавање VPN-а ако желите да га упоредите са апликацијом пружаоца.
Уклоните дупле дефиниције када нова проради. Застарео унос у подешавањима Мреже и сопствени профил апликације могу оба да показују на исту крајњу тачку, а она која се повезује није увек она за коју мислите да сте је уредили.
Тестирајте путеве које ће нови Mac заиста користити
Повежите се и потврдите да тунел преноси саобраћај; затим проверите разрешавање назива и усмеравање уместо да верујете икони у траци менија. macOS извештава о разрешивачима по интерфејсу, па би интерни DNS сервер требало да се појави на интерфејсу тунела, а интерна имена би требало да се разрешавају преко њега. Обе наредбе испод само читају стање.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Зауставите се ако се интерно име хоста разреши у јавну адресу или ако подразумевана рута и даље показује на физички интерфејс када дизајн очекује пуни тунел. Оба су знак да је профил увезен без својих рута или да га надјачава друга конфигурација.
Поновите тест након мировања и након повезивања на другу мрежу. Веза која преживи прву пријаву, али не и затварање поклопца је миграција која ће у свакодневној употреби пропасти, а ухватити то пре брисања старог Mac-а је смисао контролне листе.
Повуците стари Mac из употребе и опозовите га
Држите стари уређај повезан док нови не прође горње тестове. Затим опозовите стари уређај у конзоли оператера или систему управљања; брисање апликације са старог Mac-а не опозива његов идентитет, а копирани профил и даље може да се аутентикује.
Након опозива уклоните профиле, одјавите се са налога и обришите диск ако уређај напушта вашу контролу. Проверите још једном листу уређаја пружаоца услуга да потврдите да је стари унос нестао и да је нови исправно означен.
Ако је током премештања копирана заједничка тајна или тимске акредитиве, ротирајте их сада уместо да чекате следећу планирану промену. Миграција је готова када је стари идентитет мртав, а не када нова икона постане зелена.