Flytta VPN-åtkomst till en ny Mac: vad du ska skriva ner först
Ett kopierat anslutningsnamn är inte en migrerad identitet. Registrera klient, profilkälla och auktoriseringsväg, och installera och testa sedan den nya Macen.
Migreringen misslyckas tyst: anslutningen syns i menyraden, profilen importeras, och autentiseringen misslyckas ändå eftersom den nya Macen inte är en auktoriserad enhet. Den gamla Macen fortsätter att fungera, vilket gör det lätt att skjuta upp felet tills den gamla maskinen är borta. En kort inventering före bytet förhindrar det mesta. Skriv ner vad åtkomsten beror på medan du fortfarande kan läsa det på den fungerande maskinen.
Inventera åtkomsten medan den gamla Macen fortfarande ansluter
Börja med klienten och protokollet, inte med anslutningsnamnet. Namnet är en etikett som den gamla profilen valde; klientversionen, protokollet och slutpunkten är det som den nya maskinen måste återskapa. Notera också det exakta värdnamnet för slutpunkten, eftersom en leverantörsmigrering kan flytta det utan att ändra etiketten.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Identitetsposten väger tyngst. Ett användarnamn och en engångskod kan skrivas in på den nya Macen, ett certifikat med exporterbar nyckel kan ibland importeras, och ett enhetsbundet certifikat med icke-exporterbar nyckel kan inte flyttas alls. Skriv ner vilket av dem du har innan du planerar övergången. Om två av svaren inte stämmer överens, lös motsägelsen innan du kopierar något.
Notera till sist det förväntade nätbeteendet: full tunnel eller delad tunnel, vilka interna namn som måste slås upp, och om IPv6 förväntas gå inne i tunneln. Det blir de tester som avgör om migreringen lyckades.
Separera det som kan kopieras från det som måste utfärdas på nytt
Profiler på användarnivå, serveradresser och inställningar går oftast att flytta. Privata nycklar, enhetscertifikat och registreringstoken gör det inte, eftersom deras värde beror på att de är bundna till en maskin. Behandla dem som poster som måste utfärdas på nytt och fråga ägaren efter den stödda vägen. Allt annat kan kopieras. Ägarens process, inte migreringsguiden, avgör vilken kategori som gäller.
Stoppa här om identiteten är enhetsbunden och det inte finns någon väg för ny utfärdning. Att fortsätta med en kopierad nyckel misslyckas antingen vid autentiseringen eller, värre, lämnar samma inloggningsuppgift aktiv på två maskiner utan registrering av den andra.
Lägg inte en privat nyckel eller en återställningskod i en anteckning eller ett chattmeddelande under flytten. Använd nyckelringen, lösenordshanteraren eller organisationens escrow-process, och registrera autentiseringsappen på nytt istället för att kopiera dess seed. En migreringsanteckning som innehåller en inloggningsuppgift blir en andra kopia av den.
Installera den nya Macen via den stödda vägen
Om Macen är hanterad, registrera den i samma hanteringssystem innan du lägger till manuell konfiguration. Hanteringssystemet äger den påtvingade profilen, och en handimporterad profil ovanpå den skapar två sanningar som går isär efter nästa policyändring.
På en Mac som inte hanteras installerar du klienten från leverantörens aktuella nedladdning och importerar profilen via metoden som leverantören dokumenterar. Nyare macOS-versioner kräver godkännande av VPN-konfigurationer och systemtillägg under Sekretess och säkerhet, och ett tillägg kan behöva en omstart innan tunneln kan starta. Apple beskriver den manuella VPN-inställningsvägen om du vill jämföra den med leverantörens app.
Ta bort dubblerade definitioner när den nya fungerar. En inaktuell post i Nätverksinställningar och appens egen profil kan båda peka på samma slutpunkt, och den som ansluter är inte alltid den du tror att du redigerade.
Testa de vägar som den nya Macen faktiskt använder
Anslut och bekräfta att tunneln bär trafik; kontrollera sedan namnmatchning och routning i stället för att lita på ikonen i menyraden. macOS rapporterar resolvers per gränssnitt, så den interna DNS-servern bör visas för tunnelgränssnittet och interna namn bör slås upp genom den. Båda kommandona nedan läser bara tillstånd.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Stoppa om ett internt värdnamn slås upp till en offentlig adress, eller om standardrutten fortfarande pekar på det fysiska gränssnittet när designen förväntar en full tunnel. Båda är tecken på att profilen importerades utan sina rutter eller att en annan konfiguration åsidosätter den.
Upprepa testet efter viloläge och efter att ha anslutit till ett annat nätverk. En anslutning som överlever första inloggningen men inte ett stängt lock är en migrering som kommer att misslyckas i dagligt bruk, och att fånga det innan den gamla Macen raderas är hela poängen med checklistan.
Avveckla den gamla Macen och återkalla den
Håll den gamla enheten ansluten tills den nya klarar testerna ovan. Återkalla sedan den gamla enheten via operatörens konsol eller hanteringssystemet; att radera appen på den gamla Macen återkallar inte dess identitet, och en kopierad profil kan fortfarande autentisera.
Ta bort profilerna efter återkallelsen, logga ut från kontot och radera disken om maskinen lämnar din kontroll. Kontrollera leverantörens enhetslista en gång till för att bekräfta att den gamla posten är borta och att den nya är korrekt märkt.
Om en delad hemlighet eller en teamuppgift kopierades under flytten, rotera den nu i stället för att vänta på nästa schemalagda ändring. Migreringen är klar när den gamla identiteten är död, inte när den nya ikonen blir grön.