Mac VPN ایکسپورٹ میں کیا ہوتا ہے اور کیا پیچھے رہ جاتا ہے
Mac VPN ایکسپورٹ میں ترتیبات اور بعض اوقات نجی کلید ہوتی ہے، مگر کیچین پاس ورڈ یا ڈیوائس رجسٹریشن نہیں۔ پہلے ہر حصہ جانچیں۔
Mac VPN کلائنٹ میں Export دبائیں اور آپ کو ایک فائل ملتی ہے جو کنکشن کی وضاحت کرتی ہے مگر خود کنکشن نہیں۔ سرور کا پتہ، پورٹ، پروٹوکول اور اکثر سرٹیفکیٹس اس کے اندر ہوتے ہیں۔ لاگ ان پاس ورڈ، نجی کلید کا پاس فریز اور اسی Mac کو مجاز کرنے والی رجسٹریشن عام طور پر نہیں ہوتی۔ اسی لیے ایک پروفائل صاف طور پر درآمد ہو سکتی ہے، کلائنٹ کی فہرست میں دکھائی دے سکتی ہے اور پھر بھی پہلی توثیق کی درخواست پر ناکام ہو سکتی ہے؛ یہ خلا فارمیٹ کی خصوصیت ہے، خراب ڈاؤن لوڈ نہیں۔
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
برآمد شدہ فائل میں دراصل کیا ہوتا ہے
ایکسپورٹ ایک کنٹینر ہے، اور فائل کی توسیع مواد سے کم بتاتی ہے۔ OpenVPN پروفائل متن ہیں: ہدایات، ساتھ ہی اختیاری ان لائن <ca>، <cert> اور <key> بلاک۔ Tunnelblick کی ترتیبات کنفیگریشن اور ترتیبات کے کمپریس شدہ آرکائیو ہیں۔ زیر انتظام .mobileconfig پے لوڈز کا plist ہے۔ کچھ بھی درآمد کرنے سے پہلے دو فہرستیں سوال کا بیشتر حصہ طے کر دیتی ہیں۔
متن پروفائل کے لیے، اس کے اٹھائے ہوئے PEM بلاکس گنیں: grep -c "PRIVATE KEY" your-profile.ovpn۔ غیر صفر نتیجہ کا مطلب ہے کہ فائل میں کلید کا مواد ہے اور اس لمحے سے اسے پاس ورڈ کی طرح برتنا ہوگا۔ آرکائیو کے لیے، اسے کھولے بغیر فہرست کریں: tar -tf export.tbz، یا unzip -l export.zip اگر کلائنٹ نے zip بنایا ہو۔ اس فہرست میں کلید فائلیں، سرٹیفکیٹ فائلیں اور اپ یا ڈاؤن اسکرپٹس وہ حصے ہیں جو صارف اکاؤنٹ کے دوبارہ اجرا سے دوبارہ نہیں بنیں گے۔
الٹا معاملہ بھی اتنا ہی اہم ہے۔ جب پروفائل کلید کو شامل کرنے کے بجائے فائل نام سے اشارہ کرتی ہے، تو ایکسپورٹ جان بوجھ کر نامکمل ہے اور گمشدہ آدھا حصہ اسی سے آنا چاہیے جس نے اسے جاری کیا۔ اس فائل کو ساتھ نقل کرنا ٹھیک ہے جب سرٹیفکیٹ اتھارٹی آپ کی ہو؛ ٹھیک نہیں ہے جب فائل پرانے Mac پر بنائے گئے ڈیوائس سے بندھے سرٹیفکیٹ کے ساتھ آئی ہو۔
کیچین کا آدھا حصہ کبھی سفر کیوں نہیں کرتا
macOS VPN پاس ورڈ اور کلید کے پاس فریز لاگ ان کیچین میں رکھتا ہے، اور کلائنٹ انہیں اپنی ترتیبات کی فائلوں کے بجائے وہیں محفوظ کرتے ہیں۔ Tunnelblick یہ اپنی ایکسپورٹ اور درآمد گائیڈ میں کہتا ہے: سیٹ اپ آرکائیو کنفیگریشن اور ترتیبات لے جاتا ہے اور کیچین میں رکھے گئے صارف نام، پاس ورڈ اور پاس فریز چھوڑ دیتا ہے۔ چھوڑنا جان بوجھ کر ہے۔ کیچین کی اشیاء ہر صارف اور ہر مشین کے لیے محفوظ ہوتی ہیں، اس لیے نقل شدہ شے کا منزل پر کوئی درست رسائی کنٹرول نہیں ہوتا، جس سے یا بیکار فائل یا سادہ متن میں راز رہ جاتا ہے۔
منتقلی کی منصوبہ بندی سے پہلے آپ تصدیق کر سکتے ہیں کہ اسناد کہاں رہتی ہیں۔ security find-internet-password -s vpn.example.com مماثل شے کی خصوصیات چھاپتا ہے اور کوئی نہ ہونے پر غیر صفر کوڈ کے ساتھ ختم ہوتا ہے؛ وہی کمانڈ -g کے ساتھ پاس ورڈ ظاہر کرنے کی درخواست کرتی، اسی لیے اس کے بغیر استفسار زیادہ محفوظ جانچ ہے۔ وہاں ملنا یعنی پروفائل پاس ورڈ نہیں اٹھاتی اور اس پر مجبور نہیں کیا جا سکتا۔ اس کا مطلب یہ بھی ہے کہ نئے Mac پر پاس ورڈ دوبارہ مانگا جائے گا، اور پرانے پر دی گئی «ہمیشہ اجازت دیں» وہاں کچھ نہیں گنتی۔
تاہم ہر راز کیچین کی شے نہیں ہوتا۔ Tunnelblick کی اپنی پیکیج دستاویزات بتاتی ہیں کہ پیکیج میں کلید، سرٹیفکیٹ اور اسکرپٹ فائلیں ہو سکتی ہیں۔ لہٰذا ایکسپورٹ کا کیچین اندراجات چھوڑنا یہ دعویٰ نہیں ہے کہ ایکسپورٹ ای میل سے بھیجنے کے لیے محفوظ ہے؛ آرکائیو میں کیا ہے یہ فہرست بنانے تک اسے حساس سمجھیں۔
مقامی اور زیر انتظام VPN کے پاس ایکسپورٹ راستہ نہیں
سسٹم سیٹنگز کے ذریعے ترتیب دیے گئے کنکشن کوئی معاون ایکسپورٹ نہیں دیتے۔ scutil --nc list وہ خدمات دکھاتا ہے جو سسٹم جانتا ہے، اور scutil --nc show "Work VPN" ایک خدمت کی کنفیگریشن چھاپتا ہے، جو اس کا سرور اور پروٹوکول پڑھنے کے لیے کافی ہے۔ دونوں میں سے کوئی منتقلی کا آلہ نہیں۔ /Library/Preferences/SystemConfiguration/preferences.plist میں محفوظ خدمت شناخت کنندگان اسی فائل کے اندر حوالے ہیں، اس لیے فائل نقل کر کے شناخت کنندگان دوبارہ لکھنا معاون منتقلی نہیں اور منزل پر غیر متعلق نیٹ ورک خدمات میں خلل ڈال سکتا ہے۔
معاون راستہ وہی ہے جسے Apple دستاویز کرتا ہے: منتظم کی فراہم کردہ VPN ترتیبات فائل نصب کریں، یا وہ ترتیبات درج کریں جو آپریٹر آپ کو دیتا ہے۔ جب کنکشن زیر انتظام ہو، پرانے ڈائی لاگ کے اسکرین شاٹ سے اسے دوبارہ بنانے کے بجائے نئی فائل یا نئی رجسٹریشن مانگیں۔ MDM کے دھکیلے گئے پروفائل کے لیے، سرٹیفکیٹ پے لوڈ شناخت لے جا سکتا ہے جبکہ نجی کلید ڈیوائس پر بنتی ہے، اور اس صورت میں پرانے پروفائل کی بے عیب نقل بھی نئے Mac کی توثیق نہیں کر سکتی۔
فہرست پر بھروسہ کرنے کے بجائے بحالی کی تصدیق کریں
فہرست میں پروفائل اور کام کرنے والا ٹنل دو مختلف حالتیں ہیں، اور ان میں سے صرف ایک رپورٹ کے قابل ہے۔ درآمد اور کنیکٹ کے بعد، جانچیں کہ ٹنل انٹرفیس موجود ہے، پھر جانچیں کہ ٹنل کیا کر رہا ہے۔
ifconfig | grep -A3 utun ٹنل انٹرفیس اور اس کے پتے دکھاتا ہے۔ scutil --dns | grep nameserver دکھاتا ہے کہ کنکشن کے بعد کون سے ریزولور فعال ہیں، اور یہیں split-DNS پروفائل عام طور پر الگ ہوتی ہیں۔ پھر اس وسیلے تک پہنچیں جو واقعی اہم ہے: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com۔ اگر تینوں گزر جائیں، تو ترتیبات، DNS اور راستے آ گئے؛ کلائنٹ میں سبز آئیکن بذات خود ان میں سے کچھ نہیں بتاتا۔
درآمد کے بعد دو ناکامیاں اکثر دکھائی دیتی ہیں اور دونوں کا الزام فائل پر ڈالا جاتا ہے۔ عوامی نام حل ہونا جبکہ اندرونی نہیں، عام طور پر یعنی پروفائل کے DNS سرور چھوڑ دیے گئے یا split-DNS محفوظ نہ رہا۔ جو ٹنل اوپر آئے اور کوئی ٹریفک نہ گزارے، عام طور پر یعنی راستے یا سرور کی طرف کی اجازت پروفائل کے پیچھے نہیں گئی۔ وہی آرکائیو دوبارہ درآمد کرنا دونوں کو دوبارہ پیدا کرتا ہے۔
پرانے Mac کو ریٹائر کرنے سے پہلے
ایکسپورٹ حذف کرنا منسوخی نہیں ہے۔ اگر پرانے ڈیوائس نے سرٹیفکیٹ سے توثیق کی، تو سرور اس سرٹیفکیٹ پر اس وقت تک بھروسہ کرتا ہے جب تک وہ منسوخ یا دوبارہ جاری نہ ہو۔ اگر اس نے مشترکہ اکاؤنٹ سے توثیق کی، تو اس اکاؤنٹ کے سیشن اب بھی زندہ ہو سکتے ہیں۔ ہارڈویئر اب بھی آپ کے سامنے ہونے کے دوران سرور کی طرف کا قدم اٹھائیں۔
نئی پروفائل میں کلید ہو تو اسے اپنی دیگر اسناد کے ساتھ محفوظ کریں، اور پاس ورڈ کلائنٹ میں ٹائپ کریں تاکہ وہ فائل میں نہیں بلکہ نئی کیچین میں جائے۔ آخری جانچ: پرانا Mac بند ہونے کی حالت میں متبادل ڈیوائس سے جڑیں۔ ایسی منتقلی جو صرف تب کام کرے جب ماخذ مشین آن لائن ہو، کبھی مکمل نہیں تھی۔