Перенесення VPN-доступу на новий Mac: що записати насамперед
Скопійована назва з’єднання — це не перенесена ідентичність. Запишіть клієнт, джерело профілю та шлях авторизації, а потім налаштуйте й перевірте новий Mac.
Міграція зривається тихо: з’єднання з’являється в рядку меню, профіль імпортується, а автентифікація все одно не проходить, бо новий Mac не є авторизованим пристроєм. Старий Mac продовжує працювати, і це дозволяє відкладати проблему, доки стара машина не зникне. Короткий перелік, зроблений до переходу, запобігає більшості цього. Запишіть, від чого залежить доступ, поки його ще можна прочитати з робочої машини.
Складіть перелік доступу, поки старий Mac ще підключається
Почніть із клієнта та протоколу, а не з назви з’єднання. Назва — це ярлик, який обрав старий профіль; версію клієнта, протокол і кінцеву точку нова машина має відтворити. Запишіть також точне ім’я хоста кінцевої точки, бо міграція в постачальника може перемістити його, не змінюючи ярлик.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Запис про ідентичність важить найбільше. Ім’я користувача та одноразовий код можна ввести на новому Mac, сертифікат з експортованим ключем іноді вдається імпортувати, а сертифікат, прив’язаний до пристрою з неекспортованим ключем, перенести неможливо взагалі. Запишіть, який із цих випадків у вас, перш ніж планувати перехід. Якщо дві з цих відповідей розходяться, усуньте розбіжність, перш ніж будь-що копіювати.
Насамкінець запишіть очікувану поведінку мережі: повний тунель чи розділений тунель, які внутрішні імена мають розв’язуватися і чи очікується IPv6 усередині тунелю. Із цього постануть перевірки, які вирішать, чи вдалася міграція.
Відокремте те, що можна скопіювати, від того, що треба видати заново
Профілі рівня користувача, адреси серверів і налаштування зазвичай переносні. Приватні ключі, сертифікати пристроїв і токени реєстрації — ні, бо їхня цінність залежить від прив’язки до однієї машини. Вважайте їх позиціями, які треба видати заново, і запитайте власника про підтримуваний шлях. Усе інше можна копіювати. Категорію визначає процес власника, а не майстер міграції.
Зупиніться тут, якщо ідентичність прив’язана до пристрою і шляху для повторного видавання немає. Продовження зі скопійованим ключем або не проходить автентифікацію, або, що гірше, залишає ті самі облікові дані активними на двох машинах без жодного запису про другу.
Не залишайте приватний ключ або код відновлення в нотатці чи повідомленні чату під час перенесення. Використовуйте зв’язку ключів, менеджер паролів або процедуру escrow організації й зареєструйте автентифікатор заново, замість копіювати його насіння. Нотатка про міграцію, що містить облікові дані, стає другою копією цих даних.
Налаштуйте новий Mac підтримуваним шляхом
Якщо Mac керований, зареєструйте його в тій самій системі керування, перш ніж додавати ручну конфігурацію. Система керування володіє примусовим профілем, а профіль, імпортований вручну поверх нього, створює два джерела істини, які розходяться після наступної зміни політики.
На некерованому Mac установіть клієнт із поточного завантаження постачальника та імпортуйте профіль методом, який документує постачальник. Новіші версії macOS вимагають схвалення конфігурацій VPN і системних розширень у розділі «Конфіденційність і безпека», а розширення може потребувати перезавантаження, перш ніж тунель запуститься. Apple описує шлях ручного налаштування VPN якщо ви хочете порівняти його з застосунком постачальника.
Видаліть дубльовані визначення, коли новий запрацює. Застарілий запис у налаштуваннях мережі та власний профіль застосунку можуть указувати на ту саму кінцеву точку, і підключається не завжди та, яку ви, як вам здається, редагували.
Перевірте шляхи, які новий Mac справді використовуватиме
Підключіться та переконайтеся, що тунель передає трафік; потім перевірте розв’язування імен і маршрутизацію, а не покладайтеся на значок у рядку меню. macOS повідомляє про резолвери за інтерфейсами, тому внутрішній DNS-сервер має з’явитися на інтерфейсі тунелю, а внутрішні імена мають розв’язуватися через нього. Обидві команди нижче лише читають стан.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Зупиніться, якщо внутрішнє ім’я хоста розв’язується в публічну адресу або якщо маршрут за замовчуванням досі вказує на фізичний інтерфейс, коли проєкт передбачає повний тунель. Обидві ознаки означають, що профіль імпортовано без його маршрутів або що його перекриває інша конфігурація.
Повторіть перевірку після сну та після підключення до іншої мережі. З’єднання, яке переживає перший вхід, але не закриття кришки — це міграція, яка підведе в повсякденному використанні, і зловити це до стирання старого Mac і є сенсом контрольного списку.
Виведіть старий Mac з експлуатації та відкличте його
Тримайте старий пристрій підключеним, доки новий не пройде перевірки вище. Потім відкличте старий пристрій через консоль оператора або систему керування; видалення застосунку зі старого Mac не відкликає його ідентичність, і скопійований профіль усе ще може пройти автентифікацію.
Після відкликання видаліть профілі, вийдіть з облікового запису та зітріть диск, якщо машина залишає ваш контроль. Перевірте список пристроїв у постачальника ще раз, щоб переконатися, що старий запис зник, а новий позначено правильно.
Якщо під час перенесення було скопійовано спільний секрет або командні облікові дані, змініть їх зараз, а не чекайте наступної планової зміни. Міграція завершена, коли стара ідентичність мертва, а не коли новий значок стає зеленим.