Bir Mac VPN dışa aktarımı neyi içerir ve neyi geride bırakır
Mac VPN dışa aktarımı ayarları ve bazen bir özel anahtar taşır, ancak anahtar zinciri parolasını veya cihaz kaydını taşımaz. Önce her bölümü kontrol edin.
Bir Mac VPN istemcisinde Export'a tıklayın ve bağlantıyı tanımlayan ama kendisi bağlantı olmayan bir dosyayla kalırsınız. Sunucu adresi, bağlantı noktası, protokol ve çoğu zaman sertifikalar onun içindedir. Oturum açma parolası, özel anahtarın parola ifadesi ve tam da bu Mac'i yetkilendiren kayıt genellikle içinde değildir. Bu yüzden bir profil temiz biçimde içe aktarılabilir, istemci listesinde görünebilir ve yine de ilk kimlik doğrulama isteğinde başarısız olabilir; bu boşluk biçimin bir özelliğidir, bozuk bir indirme değil.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Dışa aktarılan dosya gerçekte neyi içerir
Dışa aktarım bir kaptır ve dosya uzantısı içerikten daha azını söyler. OpenVPN profilleri metindir: yönergeler artı isteğe bağlı satır içi <ca>, <cert> ve <key> blokları. Tunnelblick ayarları yapılandırma ve ayarların sıkıştırılmış arşivleridir. Yönetilen bir .mobileconfig yüklerin plist'idir. İki liste, herhangi bir şeyi içe aktarmadan önce sorunun çoğuna yanıt verir.
Bir metin profili için taşıdığı PEM bloklarını sayın: grep -c "PRIVATE KEY" your-profile.ovpn. Sıfırdan farklı bir sonuç, dosyanın anahtar malzemesi içerdiğini ve o andan itibaren parola gibi ele alınması gerektiğini gösterir. Bir arşiv için ayıklamadan listeleyin: tar -tf export.tbz, veya istemci bir zip oluşturduysa unzip -l export.zip. O listedeki anahtar dosyaları, sertifika dosyaları ve yukarı veya aşağı betikleri, bir kullanıcı hesabının yeniden düzenlenmesinin yeniden oluşturmayacağı parçalardır.
Tersi durum da aynı ölçüde önemlidir. Profil bir anahtarı gömmek yerine dosya adıyla işaret ettiğinde, dışa aktarım bilerek eksiktir ve eksik yarısı onu veren taraftan gelmelidir. Sertifika yetkilisi sizdeyse o dosyayı yanına kopyalamak sorun değildir; dosya eski Mac'te oluşturulmuş cihaza bağlı bir sertifikayla geldiyse sorunludur.
Anahtar zincirinin yarısı neden asla yolculuk etmez
macOS, VPN parolalarını ve anahtar parola ifadelerini oturum açma anahtar zincirinde tutar ve istemciler bunları kendi ayar dosyalarında değil orada saklar. Tunnelblick bunu dışa aktarma ve içe aktarma kılavuzunda söyler: kurulum arşivi yapılandırmaları ve ayarları taşır ve anahtar zincirinde tutulan kullanıcı adlarını, parolaları ve parola ifadelerini dışarıda bırakır. Bu atlama bilinçlidir. Anahtar zinciri öğeleri kullanıcı ve makine başına korunur, bu yüzden kopyalanan öğenin hedefte geçerli bir erişim denetimi yoktur; bu da ya işe yaramaz bir dosya ya da düz metin bir sır bırakır.
Taşınmayı planlamadan önce kimlik bilgisinin nerede yaşadığını doğrulayabilirsiniz. security find-internet-password -s vpn.example.com eşleşen bir öğenin özniteliklerini yazdırır ve hiç yoksa sıfır olmayan bir kodla çıkar; aynı komut -g ile parolanın açığa çıkarılmasını isterdi, bu yüzden onsuz yapılan sorgu daha güvenli kontroldür. Orada bir sonuç bulmak, profilin parolayı taşımadığını ve buna zorlanamayacağını gösterir. Ayrıca parolanın yeni Mac'te yeniden isteneceğini ve eski cihazda verilen «Her zaman izin ver» izninin orada hiçbir anlamı olmadığını gösterir.
Ancak her sır bir anahtar zinciri öğesi değildir. Tunnelblick'in kendi paket belgeleri, bir paketin anahtar, sertifika ve betik dosyaları içerebileceğini belirtir. Yani dışa aktarımın anahtar zinciri girdilerini dışlaması, dışa aktarımın e-postayla gönderilmesinin güvenli olduğu iddiasıyla aynı şey değildir; içinde ne olduğunu listeleyene kadar arşivi hassas sayın.
Yerleşik ve yönetilen VPN'lerin dışa aktarma yolu yoktur
Sistem Ayarları üzerinden yapılandırılan bağlantılar desteklenen bir dışa aktarım sunmaz. scutil --nc list sistemin bildiği hizmetleri gösterir ve scutil --nc show "Work VPN" bir hizmetin yapılandırmasını yazdırır; sunucusunu ve protokolünü okumaya yeter. İkisi de bir geçiş aracı değildir. /Library/Preferences/SystemConfiguration/preferences.plist içinde saklanan hizmet tanımlayıcıları o dosyaya yönelik referanslardır, bu yüzden dosyayı kopyalayıp tanımlayıcıları yeniden yazmak desteklenen bir aktarım değildir ve hedefteki ilgisiz ağ hizmetlerini bozabilir.
Desteklenen yol Apple'ın belgelediğidir: yöneticinin sağladığı bir VPN ayarları dosyasını kurun veya operatörün size verdiği ayarları girin. Bağlantı yönetiliyorsa, eski iletişim kutusunun ekran görüntüsünden yeniden kurmak yerine yeni bir dosya veya yeni bir kayıt isteyin. MDM tarafından itilen bir profil için sertifika yükü kimliği taşıyabilir, özel anahtar ise cihazda üretilir; bu durumda eski profilin kusursuz bir kopyası bile yeni Mac'i doğrulayamaz.
Listeye güvenmek yerine geri yüklemeyi doğrulayın
Listedeki profil ile çalışan bir tünel iki farklı durumdur ve yalnızca biri raporlanmaya değer. İçe aktarıp bağlandıktan sonra tünel arayüzünün var olduğunu, ardından tünelin ne yaptığını kontrol edin.
ifconfig | grep -A3 utun tünel arayüzünü ve adreslerini gösterir. scutil --dns | grep nameserver bağlantıdan sonra hangi çözümleyicilerin etkin olduğunu gösterir ve split-DNS profilleri genellikle tam orada ayrışır. Ardından gerçekten önemli olan kaynağa ulaşın: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Üçü de geçerse ayarlar, DNS ve rotalar gelmiştir; istemcideki yeşil simge kendi başına bunların hiçbirini ifade etmez.
İçe aktarmadan sonra iki arıza sık görülür ve ikisi de dosyaya yüklenir. Genel adların çözülüp iç adların çözülmemesi genellikle profilin DNS sunucularının düştüğünü veya split-DNS'in korunmadığını gösterir. Ayağa kalkıp trafik geçirmeyen bir tünel genellikle rotaların veya sunucu tarafı yetkilendirmenin profili izlemediğini gösterir. Aynı arşivi yeniden içe aktarmak ikisini de yeniden üretir.
Eski Mac'i hizmetten çıkarmadan önce
Dışa aktarımı silmek iptal değildir. Eski cihaz bir sertifikayla kimlik doğruladıysa, sunucu o sertifikaya iptal edilene veya yeniden verilene kadar güvenmeye devam eder. Paylaşılan bir hesapla kimlik doğruladıysa, o hesaptaki oturumlar hâlâ canlı olabilir. Donanım hâlâ önünüzdeyken sunucu tarafı adımını yapın.
Yeni profili bir anahtar içerdiğinde diğer kimlik bilgilerinizle birlikte saklayın ve parolayı istemciye yazın ki bir dosyaya değil yeni anahtar zincirine yerleşsin. Son kontrol: eski Mac kapalıyken yedek cihazdan bağlanın. Yalnızca kaynak makine çevrimiçiyken çalışan bir devir hiçbir zaman tam olmadı.