Шта садржи извоз Mac VPN-а и шта оставља за собом

Кликните Export у Mac VPN клијенту и добићете датотеку која описује везу, а није веза. Адреса сервера, порт, протокол и често сертификати налазе се унутра. Лозинка за пријаву, лозинка приватног кључа и регистрација која овлашћује баш овај Mac обично не. Зато се профил може чисто увести, појавити на листи клијената и ипак пасти на првом захтеву за аутентификацију; размак је својство формата, а не оштећено преузимање.

Шта извезена датотека заправо садржи

Извоз је контејнер, а екстензија датотеке говори мање од садржаја. OpenVPN профили су текст: директиве плус опциони уграђени блокови <ca>, <cert> и <key>. Подешавања Tunnelblick-а су компресовани архиви конфигурација и подешавања. Управљани .mobileconfig је plist корисних оптерећења. Две листе одговарају на већи део питања пре него што било шта увезете.

За текстуални профил пребројте PEM блокове које носи: grep -c "PRIVATE KEY" your-profile.ovpn. Резултат различит од нуле значи да датотека садржи кључни материјал и од тог тренутка се мора третирати као лозинка. За архиву га наведите без распакивања: tar -tf export.tbz, или unzip -l export.zip ако је клијент направио zip. Датотеке кључева, датотеке сертификата и скрипте за подизање или спуштање на тој листи су делови које поновно издавање корисничког налога неће поново створити.

Обрнути случај је једнако важан. Када профил указује на кључ по имену датотеке уместо да га угради, извоз је намерно непотпун и половина која недостаје мора доћи од онога ко га је издао. Копирање те датотеке поред је у реду када поседујете сертификационо тело; није у реду када је датотека дошла са сертификатом везаним за уређај који је генерисан на старом Mac-у.

Зашто половина из привеска с кључевима никада не путује

macOS чува VPN лозинке и лозинке кључева у привеску с кључевима за пријаву, а клијенти их чувају тамо уместо у сопственим датотекама подешавања. Tunnelblick то каже у свом водичу за извоз и увоз: архив подешавања носи конфигурације и подешавања и изоставља корисничка имена, лозинке и лозинке кључева које се држе у привеску. Изостављање је намерно. Ставке привеска заштићене су по кориснику и по уређају, па копирана ставка нема ваљану контролу приступа на одредишту, што оставља или бескорисну датотеку или тајну у чистом тексту.

Можете потврдити где акредитив живи пре него што планирате премештање. security find-internet-password -s vpn.example.com исписује атрибуте одговарајуће ставке и завршава са кодом различитим од нуле када је нема; иста наредба са -g би тражила откривање лозинке, зато је упит без тога сигурнија провера. Проналазак тамо значи да профил не носи лозинку и не може се натерати да је носи. Значи и да ће лозинка поново бити затражена на новом Mac-у, а одобрење «Увек дозволи» на старом тамо ништа не вреди.

Није свака тајна ставка привеска, међутим. Сопствена документација пакета Tunnelblick напомиње да пакет може садржати датотеке кључева, сертификата и скрипти. Дакле, извоз који изоставља ставке привеска није иста тврдња као да је извоз безбедан за слање е-поштом; третирајте архиву као осетљиву док не наведете шта је у њој.

Уграђени и управљани VPN-ови немају пут извоза

Веза конфигурисана кроз Системска подешавања не нуди подржани извоз. scutil --nc list приказује услуге које систем познаје, а scutil --nc show "Work VPN" исписује конфигурацију једне услуге, довољно да прочитате њен сервер и протокол. Ниједно није алат за миграцију. Идентификатори услуга сачувани у /Library/Preferences/SystemConfiguration/preferences.plist су референце у ту датотеку, па копирање датотеке и преписивање идентификатора није подржан пренос и може пореметити неповезане мрежне услуге на одредишту.

Подржани пут је онај који Apple документује: инсталирајте датотеку VPN подешавања коју је дао администратор или унесите подешавања која вам оператер даје. Када је веза управљана, затражите нову датотеку или нову регистрацију уместо да је поново градите са снимка екрана старог дијалога. За профил који гура MDM, корисни товар сертификата може носити идентитет док се приватни кључ генерише на уређају, и у том случају чак ни беспрекорна копија старог профила не може аутентификовати нови Mac.

Проверите обнову уместо да верујете листи

Профил на листи и тунел који ради два су различита стања и само једно од њих вреди пријавити. Након увоза и повезивања проверите да ли интерфејс тунела постоји, па проверите шта тунел ради.

ifconfig | grep -A3 utun приказује интерфејс тунела и његове адресе. scutil --dns | grep nameserver приказује који су резолвери активни након везе, и ту се split-DNS профили обично разилазе. Затим дохватите ресурс који је заиста важан: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Ако сва три прођу, подешавања, DNS и руте су стигле; зелена икона у клијенту сама по себи не значи ништа од тога.

Два квара се често појављују након увоза и оба се приписују датотеци. Јавна имена се разрешавају, а интерна не, обично значи да су DNS сервери профила испуштени или split-DNS није сачуван. Тунел који се подигне и не пропушта саобраћај обично значи да руте или ауторизација на страни сервера нису следиле профил. Поновни увоз исте архиве репродукује обоје.

Пре него што умировите стари Mac

Брисање извоза није опозив. Ако се стари уређај аутентификовао сертификатом, сервер још верује том сертификату док се не опозове или поново изда. Ако се аутентификовао дељеним налогом, сесије на том налогу можда су још живе. Обавите корак на страни сервера док вам је хардвер још пред очима.

Сачувајте нови профил са осталим акредитивима када садржи кључ, и упишите лозинку у клијент тако да заврши у новом привеску, а не у датотеци. Последња провера: повежите се са замене док је стари Mac искључен. Предаја која ради само док је изворни строј на мрежи никада није била потпуна.