Ano ang laman ng isang Mac VPN export, at ano ang iniwan nito
Nagdadala ang Mac VPN export ng mga setting at kung minsan ng pribadong key, ngunit hindi ang password ng keychain o ang enrollment ng device. Suriin muna ang bawat bahagi.
I-click ang Export sa isang Mac VPN client at makakakuha ka ng file na naglalarawan ng koneksyon nang hindi ito mismo ang koneksyon. Nasa loob nito ang address ng server, port, protocol at madalas ang mga certificate. Ang password sa pag-login, ang passphrase ng isang pribadong key at ang enrollment na nagbibigay awtoridad sa partikular na Mac na ito ay karaniwang wala. Kaya naman maaaring malinis na ma-import ang isang profile, lumitaw ito sa listahan ng client at mabigo pa rin sa unang kahilingan sa pagpapatunay; ang puwang ay katangian ng format, hindi sira ang download.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Ano talaga ang laman ng na-export na file
Ang export ay isang lalagyan, at ang extension ng file ay nagsasabi ng mas kaunti kaysa sa nilalaman. Ang mga profile ng OpenVPN ay teksto: mga direktiba, kasama ang opsyonal na inline na <ca>, <cert> at <key> na block. Ang mga setup ng Tunnelblick ay mga naka-compress na archive ng mga configuration at setting. Ang pinamamahalaang .mobileconfig ay isang plist ng mga payload. Dalawang listahan ang sumasagot sa karamihan ng tanong bago ka mag-import ng anuman.
Para sa isang text profile, bilangin ang mga PEM block na dala nito: grep -c "PRIVATE KEY" your-profile.ovpn. Ang resultang hindi zero ay nangangahulugang may key material ang file at dapat ituring na password mula noon. Para sa isang archive, ilista ito nang hindi ito kinukuha: tar -tf export.tbz, o unzip -l export.zip kung gumawa ng zip ang client. Ang mga key file, certificate file at up o down na script sa listahang iyon ang mga bahaging hindi muling gagawin ng muling pag-isyu ng user account.
Ang kabaligtaran ay kasinghalaga. Kapag itinuro ng profile ang isang key sa pamamagitan ng filename sa halip na i-embed ito, sadyang hindi kumpleto ang export at ang nawawalang kalahati ay dapat magmula sa nag-isyu nito. Maayos na kopyahin ang file na iyon sa tabi kapag ikaw ang may-ari ng certificate authority; hindi maayos kapag ang file ay may certificate na nakatali sa device na ginawa sa lumang Mac.
Bakit hindi kailanman naglalakbay ang kalahati ng keychain
Iniimbak ng macOS ang mga password ng VPN at passphrase ng key sa login keychain, at doon iniimbak ng mga client ang mga ito sa halip na sa sarili nilang setting file. Sinasabi ito ng Tunnelblick sa gabay sa pag-export at pag-import nito: dala ng setup archive ang mga configuration at setting at iniiwan ang mga username, password at passphrase na hawak sa keychain. Ang pag-iwan ay sinasadya. Ang mga item sa keychain ay protektado bawat user at bawat makina, kaya ang kopyang item ay walang valid na access control sa patutunguhan, na nag-iiwan ng alinman sa walang silbing file o sekreto sa plaintext.
Maaari mong tiyakin kung saan nakatira ang credential bago planuhin ang paglipat. Nagpi-print ang security find-internet-password -s vpn.example.com ng mga attribute ng tumutugmang item at nagtatapos sa di-zero na code kapag wala; ang parehong command na may -g ay hihiling na ihayag ang password, kaya ang query na wala ito ang mas ligtas na pagsusuri. Ang makatagpo doon ay nangangahulugang hindi dala ng profile ang password at hindi ito mapipilit na gawin iyon. Nangangahulugan din itong hihilingin muli ang password sa bagong Mac, at ang «Palaging payagan» na pagpayag sa luma ay walang saysay doon.
Hindi bawat sekreto ay item sa keychain, gayunpaman. Ang dokumentasyon ng package ng Tunnelblick mismo ay nagsasaad na ang isang package ay maaaring maglaman ng key, certificate at script file. Kaya ang pagbubukod ng export sa mga entry ng keychain ay hindi ang parehong pahayag na ang export ay ligtas na ipadala sa email; ituring ang archive na sensitibo hanggang mailista mo kung ano ang laman nito.
Walang daan sa pag-export ang native at pinamamahalaang VPN
Ang mga koneksyong naka-configure sa pamamagitan ng System Settings ay walang sinusuportahang export. Ipinapakita ng scutil --nc list ang mga serbisyong alam ng system, at ipiniprint ng scutil --nc show "Work VPN" ang configuration ng isang serbisyo, sapat para basahin ang server at protocol nito. Wala sa dalawa ang tool sa migration. Ang mga service identifier na nakaimbak sa /Library/Preferences/SystemConfiguration/preferences.plist ay mga sanggunian sa loob ng file na iyon, kaya ang pagkopya ng file at muling pagsulat ng mga identifier ay hindi sinusuportahang paglilipat at maaaring makagambala sa mga walang kaugnayang serbisyo ng network sa patutunguhan.
Ang sinusuportahang daan ay ang dokumentado ng Apple: mag-install ng VPN settings file na ibinigay ng administrator, o ilagay ang mga setting na ibinibigay sa iyo ng operator. Kapag pinamamahalaan ang koneksyon, humingi ng bagong file o bagong enrollment sa halip na muling buuin ito mula sa screenshot ng lumang dialog. Para sa profile na itinutulak ng MDM, maaaring dalhin ng certificate payload ang pagkakakilanlan habang ang pribadong key ay ginagawa sa device, at sa kasong iyon kahit ang perpektong kopya ng lumang profile ay hindi mapapatunayan ang bagong Mac.
Tiyakin ang pagpapanumbalik sa halip na magtiwala sa listahan
Ang profile sa listahan at ang gumaganang tunnel ay dalawang magkaibang estado, at isa lang sa kanila ang dapat iulat. Pagkatapos mag-import at kumonekta, tiyakin na may tunnel interface, pagkatapos tiyakin kung ano ang ginagawa ng tunnel.
ifconfig | grep -A3 utun ipinapakita ang tunnel interface at ang mga address nito. scutil --dns | grep nameserver ipinapakita kung aling resolver ang aktibo pagkatapos ng koneksyon, at doon karaniwang nagkakaiba ang mga split-DNS profile. Pagkatapos ay maabot ang resource na talagang mahalaga: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Kung pumasa ang tatlo, dumating na ang mga setting, DNS at ruta; ang berdeng icon sa client ay walang ibig sabihin niyon nang mag-isa.
Dalawang pagkabigo ang madalas lumitaw pagkatapos ng import at pareho ang sinisisi sa file. Ang pag-resolve ng mga pampublikong pangalan habang hindi ang mga panloob ay karaniwang nangangahulugang na-drop ang mga DNS server ng profile o hindi napreserba ang split-DNS. Ang tunnel na bumabangon at walang trafikong dumadaan ay karaniwang nangangahulugang hindi sinundan ng mga ruta o ng awtorisasyon sa panig ng server ang profile. Ang muling pag-import ng parehong archive ay muling gumagawa ng dalawa.
Bago mo iretiro ang lumang Mac
Ang pagtanggal ng export ay hindi pagbawi. Kung ang lumang device ay nagpatunay gamit ang certificate, pinagkakatiwalaan pa rin ng server ang certificate na iyon hanggang ito ay bawiin o muling isyu. Kung nagpatunay ito gamit ang shared account, maaaring buhay pa ang mga session sa account na iyon. Gawin ang hakbang sa panig ng server habang nasa harap mo pa ang hardware.
Itabi ang bagong profile kasama ng iba mong credential kapag may key ito, at i-type ang password sa client para mapunta ito sa bagong keychain at hindi sa isang file. Huling pagsusuri: kumonekta mula sa kapalit habang naka-off ang lumang Mac. Ang turnover na gumagana lang habang online ang source machine ay hindi kailanman naging kumpleto.