ย้ายการเข้าถึง VPN ไปยัง Mac เครื่องใหม่: ควรบันทึกอะไรก่อน
ชื่อการเชื่อมต่อที่คัดลอกมาไม่ใช่ตัวตนที่ย้ายแล้ว บันทึกไคลเอนต์ แหล่งที่มาของโปรไฟล์ และเส้นทางการอนุญาต แล้วจึงเตรียมและทดสอบ Mac เครื่องใหม่
การย้ายล้มเหลวอย่างเงียบ ๆ: การเชื่อมต่อปรากฏในแถบเมนู โปรไฟล์ถูกนำเข้า แต่การยืนยันตัวตนยังล้มเหลวเพราะ Mac เครื่องใหม่ไม่ใช่อุปกรณ์ที่ได้รับอนุญาต Mac เครื่องเก่ายังทำงานอยู่ ทำให้เลื่อนปัญหาไปได้ง่ายจนกว่าเครื่องเก่าจะหายไป บัญชีสั้น ๆ ที่ทำก่อนการเปลี่ยนช่วยป้องกันได้เกือบทั้งหมด จดว่าการเข้าถึงขึ้นอยู่กับอะไรในขณะที่ยังอ่านได้จากเครื่องที่ใช้งานได้
ทำบัญชีการเข้าถึงในขณะที่ Mac เครื่องเก่ายังเชื่อมต่ออยู่
เริ่มจากไคลเอนต์และโปรโตคอล ไม่ใช่ชื่อการเชื่อมต่อ ชื่อคือป้ายที่โปรไฟล์เก่าเลือก เวอร์ชันไคลเอนต์ โปรโตคอล และปลายทางคือสิ่งที่เครื่องใหม่ต้องทำซ้ำ บันทึกชื่อโฮสต์ที่แน่นอนของปลายทางด้วย เพราะการย้ายของผู้ให้บริการอาจย้ายมันโดยไม่เปลี่ยนป้าย
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
รายการตัวตนมีน้ำหนักมากที่สุด ชื่อผู้ใช้และรหัสใช้ครั้งเดียวสามารถป้อนบน Mac เครื่องใหม่ได้ ใบรับรองที่มีคีย์ส่งออกได้บางครั้งนำเข้าได้ และใบรับรองที่ผูกกับอุปกรณ์ซึ่งมีคีย์ส่งออกไม่ได้นั้นย้ายไม่ได้เลย บันทึกว่าคุณอยู่ในกรณีใดก่อนวางแผนการเปลี่ยน หากคำตอบสองข้อขัดกัน ให้แก้ความขัดแย้งก่อนคัดลอกสิ่งใด
สุดท้าย บันทึกพฤติกรรมเครือข่ายที่คาดไว้: อุโมงค์เต็มหรืออุโมงค์แยก ชื่อภายในใดต้องถูกแปลง และคาดว่าจะมี IPv6 ภายในอุโมงค์หรือไม่ สิ่งเหล่านี้จะกลายเป็นการทดสอบที่ตัดสินว่าการย้ายสำเร็จหรือไม่
แยกสิ่งที่คัดลอกได้ออกจากสิ่งที่ต้องออกใหม่
โปรไฟล์ระดับผู้ใช้ ที่อยู่เซิร์ฟเวอร์ และการตั้งค่ามักย้ายได้ ส่วนคีย์ส่วนตัว ใบรับรองอุปกรณ์ และโทเคนลงทะเบียนย้ายไม่ได้ เพราะคุณค่าขึ้นอยู่กับการผูกกับเครื่องเดียว ให้ถือว่าเป็นรายการที่ต้องออกใหม่และถามเจ้าของเกี่ยวกับเส้นทางที่รองรับ สิ่งอื่นทั้งหมดคัดลอกได้ กระบวนการของเจ้าของเป็นตัวกำหนด ไม่ใช่ตัวช่วยย้าย
หยุดตรงนี้หากตัวตนผูกกับอุปกรณ์และไม่มีเส้นทางออกใหม่ การดำเนินการต่อด้วยคีย์ที่คัดลอกมาจะล้มเหลวในการยืนยันตัวตน หรือแย่กว่านั้น คือทิ้งข้อมูลรับรองเดียวกันให้ใช้งานได้บนสองเครื่องโดยไม่มีบันทึกของเครื่องที่สอง
อย่าวางคีย์ส่วนตัวหรือรหัสกู้คืนไว้ในบันทึกหรือข้อความแชทระหว่างการย้าย ใช้พวงกุญแจ ตัวจัดการรหัสผ่าน หรือกระบวนการเอสโครว์ขององค์กร และลงทะเบียนตัวตรวจสอบสิทธิ์ใหม่แทนการคัดลอกซีด บันทึกการย้ายที่มีข้อมูลรับรองจะกลายเป็นสำเนาที่สองของข้อมูลนั้น
เตรียม Mac เครื่องใหม่ผ่านเส้นทางที่รองรับ
หาก Mac ถูกจัดการ ให้ลงทะเบียนในระบบจัดการเดียวกันก่อนเพิ่มการกำหนดค่าด้วยมือ ระบบจัดการเป็นเจ้าของโปรไฟล์ที่บังคับใช้ และโปรไฟล์ที่นำเข้าด้วยมือทับซ้อนจะสร้างแหล่งความจริงสองแห่งที่ขัดกันหลังการเปลี่ยนนโยบายครั้งถัดไป
บน Mac ที่ไม่ได้จัดการ ให้ติดตั้งไคลเอนต์จากดาวน์โหลดปัจจุบันของผู้ให้บริการและนำเข้าโปรไฟล์ด้วยวิธีที่ผู้ให้บริการจัดทำเอกสาร macOS เวอร์ชันล่าสุดต้องมีการอนุมัติสำหรับการกำหนดค่า VPN และส่วนขยายระบบในความเป็นส่วนตัวและความปลอดภัย และส่วนขยายอาจต้องรีสตาร์ทก่อนอุโมงค์จะเริ่ม Apple จัดทำเอกสาร เส้นทางการตั้งค่า VPN ด้วยมือ หากคุณต้องการเปรียบเทียบกับแอปของผู้ให้บริการ
ลบคำจำกัดความที่ซ้ำกันเมื่ออันใหม่ทำงานได้ รายการเก่าในการตั้งค่าเครือข่ายและโปรไฟล์ของแอปเองอาจชี้ไปที่ปลายทางเดียวกัน และรายการที่เชื่อมต่อไม่ใช่รายการที่คุณคิดว่าแก้ไขเสมอไป
ทดสอบเส้นทางที่ Mac เครื่องใหม่จะใช้จริง
เชื่อมต่อและยืนยันว่าอุโมงค์ส่งข้อมูลอยู่ จากนั้นตรวจสอบการแปลงชื่อและการกำหนดเส้นทางแทนการเชื่อมแถบเมนู macOS รายงานตัวแปลงต่ออินเทอร์เฟซ ดังนั้นเซิร์ฟเวอร์ DNS ภายในควรปรากฏบนอินเทอร์เฟซอุโมงค์ และชื่อภายในควรถูกแปลงผ่านมัน คำสั่งทั้งสองด้านล่างอ่านสถานะเท่านั้น
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20หยุดหากชื่อโฮสต์ภายในแปลงเป็นที่อยู่สาธารณะ หรือเส้นทางเริ่มต้นยังชี้ไปที่อินเทอร์เฟซทางกายภาพในขณะที่การออกแบบคาดหวังอุโมงค์เต็ม ทั้งสองเป็นสัญญาณว่าโปรไฟล์ถูกนำเข้าโดยไม่มีเส้นทาง หรือมีการกำหนดค่าอื่นเขียนทับ
ทำการทดสอบซ้ำหลังการพักเครื่องและหลังเชื่อมต่อเครือข่ายอื่นการเชื่อมต่อที่อยู่รอดจากการเข้าสู่ระบบครั้งแรกแต่ไม่อยู่รอดจากการปิดฝา คือการย้ายที่จะล้มเหลวในการใช้งานประจำวัน และการจับได้ก่อนที่ Mac เครื่องเก่าจะถูกลบคือจุดประสงค์ของรายการตรวจสอบ
ปลดระวาง Mac เครื่องเก่าและเพิกถอน
ให้อุปกรณ์เก่าเชื่อมต่ออยู่จนกว่าเครื่องใหม่จะผ่านการทดสอบข้างต้น จากนั้นเพิกถอนอุปกรณ์เก่าผ่านคอนโซลผู้ปฏิบัติการหรือระบบจัดการ การลบแอปออกจาก Mac เครื่องเก่าไม่ได้เพิกถอนตัวตนของมัน และโปรไฟล์ที่คัดลอกมายังยืนยันตัวตนได้
หลังการเพิกถอน ให้ลบโปรไฟล์ ออกจากระบบบัญชี และล้างดิสก์หากเครื่องออกจากการควบคุมของคุณ ตรวจสอบรายการอุปกรณ์ของผู้ให้บริการอีกครั้งเพื่อยืนยันว่ารายการเก่าหายไปและรายการใหม่ติดป้ายถูกต้อง
หากรหัสหรือข้อมูลรับรองของทีมถูกคัดลอกระหว่างการย้าย ให้หมุนเวียนตอนนี้แทนการรอการเปลี่ยนแปลงตามกำหนดครั้งถัดไป การย้ายเสร็จสิ้นเมื่อตัวตนเก่าตายแล้ว ไม่ใช่เมื่อไอคอนใหม่เปลี่ยนเป็นสีเขียว