สิ่งที่ไฟล์ส่งออก VPN บน Mac มี และสิ่งที่มันทิ้งไว้
ไฟล์ส่งออก VPN บน Mac มีการตั้งค่าและบางครั้งมีคีย์ส่วนตัว แต่ไม่รวมรหัสผ่านของพวงกุญแจหรือการลงทะเบียนอุปกรณ์ ตรวจสอบแต่ละส่วนก่อน
คลิก Export ในไคลเอนต์ VPN บน Mac แล้วคุณจะได้ไฟล์ที่อธิบายการเชื่อมต่อโดยไม่ได้เป็นการเชื่อมต่อเอง ที่อยู่เซิร์ฟเวอร์ พอร์ต โปรโตคอล และบ่อยครั้งคือใบรับรองอยู่ข้างใน รหัสผ่านเข้าสู่ระบบ วลีรหัสผ่านของคีย์ส่วนตัว และการลงทะเบียนที่อนุญาต Mac เครื่องนี้โดยเฉพาะมักไม่อยู่ในไฟล์ นี่คือเหตุผลที่โปรไฟล์นำเข้าได้สะอาด ปรากฏในรายการของไคลเอนต์ และยังล้มเหลวที่คำขอตรวจสอบสิทธิ์ครั้งแรก ช่องว่างนี้เป็นคุณสมบัติของรูปแบบ ไม่ใช่ไฟล์ดาวน์โหลดที่เสียหาย
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
ไฟล์ที่ส่งออกมีอะไรอยู่จริง
ไฟล์ส่งออกเป็นภาชนะ และ นามสกุลไฟล์บอกได้น้อยกว่าเนื้อหา โปรไฟล์ OpenVPN เป็นข้อความ: คำสั่ง บวกบล็อก <ca>, <cert> และ <key> แบบอินไลน์ที่เลือกได้ การตั้งค่า Tunnelblick เป็นไฟล์เก็บถาวรที่บีบอัดของการกำหนดค่าและการตั้งค่า .mobileconfig ที่จัดการอยู่เป็น plist ของเพย์โหลด สองรายการตอบคำถามส่วนใหญ่ได้ก่อนที่คุณจะนำเข้าอะไร
สำหรับโปรไฟล์ข้อความ ให้นับบล็อก PEM ที่มันพาไป: grep -c "PRIVATE KEY" your-profile.ovpn ผลลัพธ์ที่ไม่ใช่ศูนย์หมายถึงไฟล์มีวัสดุคีย์และต้องจัดการเหมือนรหัสผ่านตั้งแต่นั้นไป สำหรับไฟล์เก็บถาวร ให้แสดงรายการโดยไม่แตกไฟล์: tar -tf export.tbz หรือ unzip -l export.zip หากไคลเอนต์สร้าง zip ไฟล์คีย์ ไฟล์ใบรับรอง และสคริปต์ขึ้นหรือลงในรายการนั้นคือส่วนที่การออกบัญชีผู้ใช้ใหม่จะไม่สร้างใหม่
กรณีตรงกันข้ามสำคัญพอๆ กัน เมื่อโปรไฟล์ชี้ไปที่คีย์ตามชื่อไฟล์แทนที่จะฝังไว้ การส่งออกจะไม่สมบูรณ์โดยเจตนา และครึ่งที่หายไปต้องมาจากผู้ออกคีย์ การคัดลอกไฟล์นั้นไว้ข้างๆ ทำได้เมื่อคุณเป็นเจ้าของหน่วยงานออกใบรับรอง แต่ทำไม่ได้เมื่อไฟล์มาพร้อมใบรับรองที่ผูกกับอุปกรณ์ซึ่งสร้างบน Mac เครื่องเก่า
ทำไมครึ่งหนึ่งของพวงกุญแจไม่เคยเดินทาง
macOS เก็บรหัสผ่าน VPN และวลีรหัสผ่านของคีย์ไว้ในพวงกุญแจเข้าสู่ระบบ และไคลเอนต์เก็บไว้ที่นั่นแทนที่จะเก็บในไฟล์การตั้งค่าของตัวเอง Tunnelblick ระบุไว้ในคู่มือการส่งออกและการนำเข้าของมัน: ไฟล์เก็บถาวรของการติดตั้งมีการกำหนดค่าและการตั้งค่า และละเว้นชื่อผู้ใช้ รหัสผ่าน และวลีรหัสผ่านที่เก็บไว้ในพวงกุญแจ การละเว้นเป็นเจตนา รายการในพวงกุญแจได้รับการป้องกันตามผู้ใช้และตามเครื่อง ดังนั้นรายการที่คัดลอกจึงไม่มีการควบคุมการเข้าถึงที่ใช้ได้ที่ปลายทาง ซึ่งเหลือไว้เป็นไฟล์ที่ไร้ประโยชน์หรือความลับในข้อความธรรมดา
คุณสามารถยืนยันได้ว่าข้อมูลรับรองอยู่ที่ใดก่อนวางแผนย้าย security find-internet-password -s vpn.example.com พิมพ์แอตทริบิวต์ของรายการที่ตรงกันและจบด้วยรหัสที่ไม่ใช่ศูนย์เมื่อไม่มีรายการใด คำสั่งเดียวกันกับ -g จะขอให้เปิดเผยรหัสผ่าน ดังนั้นการสอบถามโดยไม่มีตัวเลือกนั้นจึงเป็นการตรวจสอบที่ปลอดภัยกว่า การพบรายการที่นั่นหมายความว่าโปรไฟล์ไม่ได้พารหัสผ่านไปและไม่สามารถบังคับให้ทำได้ นอกจากนี้ยังหมายความว่ารหัสผ่านจะถูกขออีกครั้งบน Mac ใหม่ และการอนุญาต «อนุญาตเสมอ» บนเครื่องเก่าไม่มีความหมายที่นั่น
อย่างไรก็ตาม ไม่ใช่ทุกความลับจะเป็นรายการในพวงกุญแจ เอกสารแพ็กเกจของ Tunnelblick เองระบุว่าแพ็กเกจอาจมีไฟล์คีย์ ใบรับรอง และสคริปต์ ดังนั้นการที่ไฟล์ส่งออกไม่รวมรายการในพวงกุญแจจึงไม่ใช่ข้อความเดียวกับการที่ไฟล์ส่งออกปลอดภัยพอจะส่งอีเมล ให้ถือว่าไฟล์เก็บถาวรนั้นละเอียดอ่อนจนกว่าคุณจะระบุได้ว่ามีอะไรอยู่ข้างใน
VPN แบบเนทีฟและแบบจัดการไม่มีการส่งออก
การเชื่อมต่อที่กำหนดค่าผ่านการตั้งค่าระบบไม่มีการส่งออกที่รองรับ scutil --nc list แสดงบริการที่ระบบรู้จัก และ scutil --nc show "Work VPN" พิมพ์การกำหนดค่าของบริการหนึ่ง ซึ่งพอจะอ่านเซิร์ฟเวอร์และโปรโตคอลได้ ทั้งสองไม่ใช่เครื่องมือย้ายข้อมูล ตัวระบุบริการที่เก็บไว้ใน /Library/Preferences/SystemConfiguration/preferences.plist เป็นการอ้างอิงภายในไฟล์นั้น ดังนั้นการคัดลอกไฟล์และเขียนตัวระบุใหม่จึงไม่ใช่การถ่ายโอนที่รองรับ และอาจรบกวนบริการเครือข่ายที่ไม่เกี่ยวข้องที่ปลายทาง
เส้นทางที่รองรับคือเส้นทางที่ Apple เอกสารไว้: ติดตั้งไฟล์การตั้งค่า VPN ที่ผู้ดูแลระบบให้มา หรือป้อนการตั้งค่าที่ผู้ให้บริการให้คุณ เมื่อการเชื่อมต่อได้รับการจัดการ ให้ขอไฟล์ใหม่หรือการลงทะเบียนใหม่แทนการสร้างใหม่จากภาพหน้าจอของกล่องโต้ตอบเก่า สำหรับโปรไฟล์ที่ MDM ผลักมา เพย์โหลดใบรับรองอาจพาตัวตนไป ขณะที่คีย์ส่วนตัวถูกสร้างบนอุปกรณ์ และในกรณีนั้นแม้สำเนาโปรไฟล์เก่าที่สมบูรณ์แบบก็ไม่สามารถยืนยันตัวตน Mac ใหม่ได้
ตรวจสอบการกู้คืนแทนการเชื่อถือรายการ
โปรไฟล์ในรายการกับอุโมงค์ที่ใช้งานได้เป็นสองสถานะที่ต่างกัน และมีเพียงสถานะเดียวที่ควรค่าแก่การรายงาน หลังจากนำเข้าและเชื่อมต่อแล้ว ให้ตรวจสอบว่าอินเทอร์เฟซอุโมงค์มีอยู่ แล้วตรวจสอบว่าอุโมงค์กำลังทำอะไร
ifconfig | grep -A3 utun แสดงอินเทอร์เฟซอุโมงค์และที่อยู่ของมัน scutil --dns | grep nameserver แสดงว่าตัวแปลงชื่อใดทำงานหลังการเชื่อมต่อ และนั่นคือจุดที่โปรไฟล์ split-DNS มักแตกต่างกัน จากนั้นไปให้ถึงทรัพยากรที่สำคัญจริงๆ: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com หากทั้งสามผ่าน แสดงว่าการตั้งค่า DNS และเส้นทางมาถึงแล้ว ไอคอนสีเขียวในไคลเอนต์ไม่ได้หมายความถึงสิ่งเหล่านี้ด้วยตัวเอง
ความล้มเหลวสองอย่างมักปรากฏหลังการนำเข้า และทั้งคู่ถูกโทษว่าเป็นความผิดของไฟล์ การที่ชื่อสาธารณะแปลงได้แต่ชื่อภายในไม่แปลงมักหมายความว่าเซิร์ฟเวอร์ DNS ของโปรไฟล์ถูกตัดออกหรือ split-DNS ไม่ได้รับการรักษาไว้ อุโมงค์ที่ขึ้นมาแต่ไม่ส่งผ่านทราฟฟิกมักหมายความว่าเส้นทางหรือการอนุญาตฝั่งเซิร์ฟเวอร์ไม่ได้ตามโปรไฟล์ การนำเข้าไฟล์เก็บถาวรเดิมซ้ำจะสร้างทั้งสองอย่างขึ้นมาอีก
ก่อนที่คุณจะปลดระวาง Mac เครื่องเก่า
การลบไฟล์ส่งออกไม่ใช่การเพิกถอน หากอุปกรณ์เก่าตรวจสอบสิทธิ์ด้วยใบรับรอง เซิร์ฟเวอร์ยังคงเชื่อถือใบรับรองนั้นจนกว่าจะถูกเพิกถอนหรือออกใหม่ หากตรวจสอบสิทธิ์ด้วยบัญชีที่ใช้ร่วมกัน เซสชันในบัญชีนั้นอาจยังมีชีวิตอยู่ ดำเนินการฝั่งเซิร์ฟเวอร์ขณะที่ฮาร์ดแวร์ยังอยู่ตรงหน้าคุณ
เก็บโปรไฟล์ใหม่ไว้กับข้อมูลรับรองอื่นๆ ของคุณเมื่อมันมีคีย์ และพิมพ์รหัสผ่านลงในไคลเอนต์เพื่อให้ไปอยู่ในพวงกุญแจใหม่ไม่ใช่ในไฟล์ การตรวจสอบสุดท้าย: เชื่อมต่อจากเครื่องทดแทนขณะที่ Mac เครื่องเก่าปิดอยู่ การส่งมอบที่ทำงานได้เฉพาะเมื่อเครื่องต้นทางออนไลน์อยู่เท่านั้นไม่เคยสมบูรณ์