Mac VPN eksporti nimalarni o'z ichiga oladi va nimalarni qoldiradi
Mac VPN eksporti sozlamalarni va ba'zan shaxsiy kalitni olib yuradi, lekin kalitlar bog'lami parolini yoki qurilma ro'yxatga olinishini emas. Avval har bir qismni tekshiring.
Mac VPN mijozi ichida Export tugmasini bosing va ulanishni tavsiflovchi, ammo o'zi ulanish bo'lmagan fayl olasiz. Server manzili, port, protokol va ko'pincha sertifikatlar uning ichida bo'ladi. Kirish paroli, shaxsiy kalitning parol iborasi va aynan shu Mac'ga ruxsat beruvchi ro'yxatga olish odatda yo'q. Shuning uchun profil toza import qilinishi, mijoz ro'yxatida ko'rinishi va baribir birinchi autentifikatsiya so'rovida muvaffaqiyatsiz bo'lishi mumkin; bu bo'shliq formatning xususiyati, buzilgan yuklab olish emas.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Eksport qilingan fayl aslida nimalarni o'z ichiga oladi
Eksport bu idish, va fayl kengaytmasi mazmundan kamroq gapiradi. OpenVPN profillari matn: ko'rsatmalar, qo'shimcha ixtiyoriy ichki <ca>, <cert> va <key> bloklar. Tunnelblick sozlamalari konfiguratsiyalar va sozlamalarning siqilgan arxivlaridir. Boshqariladigan .mobileconfig yuklamalarning plist faylidir. Biror narsani import qilishdan oldin ikkita ro'yxat savolning ko'p qismiga javob beradi.
Matn profili uchun u olib yurgan PEM bloklarini sanang: grep -c "PRIVATE KEY" your-profile.ovpn. Noldan farqli natija faylda kalit materiali borligini va shu paytdan boshlab unga parol kabi munosabatda bo'lish kerakligini bildiradi. Arxiv uchun uni ochmasdan ro'yxatlang: tar -tf export.tbz, yoki mijoz zip yaratgan bo'lsa unzip -l export.zip. O'sha ro'yxatdagi kalit fayllari, sertifikat fayllari va yuqoriga yoki pastga skriptlari foydalanuvchi hisobi qayta berilganda qayta yaratilmaydigan qismlardir.
Qarama-qarshi holat ham shunchalik muhim. Profil kalitni ichiga qo'shish o'rniga fayl nomi bilan ko'rsatsa, eksport ataylab to'liq emas va yetishmayotgan yarmi uni bergan tomondan kelishi kerak. Sertifikat organi sizga tegishli bo'lsa, o'sha faylni yoniga nusxalash mumkin; fayl eski Mac'da yaratilgan qurilmaga bog'langan sertifikat bilan kelgan bo'lsa, mumkin emas.
Nega kalitlar bog'lamining yarmi hech qachon sayohat qilmaydi
macOS VPN parollari va kalit parol iboralarini kirish kalitlar bog'lamida saqlaydi, mijozlar ularni o'z sozlamalar fayllarida emas, o'sha yerda saqlaydi. Tunnelblick buni o'zining eksport va import qo'llanmasida aytadi: sozlash arxivi konfiguratsiyalar va sozlamalarni olib yuradi va kalitlar bog'lamida saqlanadigan foydalanuvchi nomlari, parollar va parol iboralarini tashqarida qoldiradi. Tashlab ketish ataylab. Kalitlar bog'lami elementlari har bir foydalanuvchi va har bir mashina bo'yicha himoyalanadi, shuning uchun nusxalangan elementning manzilga haqiqiy kirish nazorati yo'q, bu esa yo foydasiz fayl, yo ochiq matndagi sir qoldiradi.
Ko'chirishni rejalashtirishdan oldin hisob ma'lumotlari qayerda yashashini tasdiqlashingiz mumkin. security find-internet-password -s vpn.example.com mos keladigan elementning atributlarini chop etadi va hech biri bo'lmasa noldan farqli kod bilan chiqadi; xuddi shu buyruq -g bilan parolni ochishni so'raydi, shuning uchun usiz so'rov xavfsizroq tekshiruv. U erda topilish profil parolni olib yurmasligini va uni majburlash mumkin emasligini bildiradi. Bu shuningdek parol yangi Mac'da yana so'ralishini va eskisida berilgan «Har doim ruxsat berish» u yerda hech narsani anglatmasligini bildiradi.
Biroq har bir sir kalitlar bog'lami elementi emas. Tunnelblick'ning o'z paket hujjatlari paketda kalit, sertifikat va skript fayllari bo'lishi mumkinligini qayd etadi. Shuning uchun eksportning kalitlar bog'lami yozuvlarini chetlab o'tishi eksportni elektron pochta bilan yuborish xavfsiz degan da'vo bilan bir xil emas; arxivda nima borligini ro'yxatlamaguningizcha unga nozik narsa sifatida qarang.
Mahalliy va boshqariladigan VPN'larning eksport yo'li yo'q
Tizim sozlamalari orqali sozlangan ulanishlar qo'llab-quvvatlanadigan eksportni taklif qilmaydi. scutil --nc list tizim biladigan xizmatlarni ko'rsatadi, scutil --nc show "Work VPN" esa bitta xizmat konfiguratsiyasini chop etadi, bu uning serveri va protokolini o'qish uchun yetarli. Ikkalasi ham ko'chirish vositasi emas. /Library/Preferences/SystemConfiguration/preferences.plist ichida saqlangan xizmat identifikatorlari o'sha faylga ichki havolalar, shuning uchun faylni nusxalash va identifikatorlarni qayta yozish qo'llab-quvvatlanadigan o'tkazish emas va manzildagi aloqasiz tarmoq xizmatlariga xalal berishi mumkin.
Qo'llab-quvvatlanadigan yo'l — Apple hujjatlashtirgan yo'l: administrator taqdim etgan VPN sozlamalar faylini o'rnating yoki operator sizga bergan sozlamalarni kiriting. Ulanish boshqariladigan bo'lsa, eski muloqot oynasining ekran suratidan uni qayta qurish o'rniga yangi fayl yoki yangi ro'yxatga olishni so'rang. MDM tomonidan suriladigan profil uchun sertifikat yuklamasi shaxsni olib yurishi mumkin, shaxsiy kalit esa qurilmada yaratiladi, va bu holda eski profilning benuqson nusxasi ham yangi Mac'ni autentifikatsiya qila olmaydi.
Ro'yxatga ishonish o'rniga tiklashni tekshiring
Ro'yxatdagi profil va ishlayotgan tunnel ikki xil holat, va faqat bittasi hisobot berishga arziydi. Import qilib ulangandan so'ng, tunnel interfeysi mavjudligini, so'ng tunnel nima qilayotganini tekshiring.
ifconfig | grep -A3 utun tunnel interfeysi va uning manzillarini ko'rsatadi. scutil --dns | grep nameserver ulanishdan keyin qaysi rezolverlar faol ekanini ko'rsatadi, va split-DNS profillari odatda aynan shu yerda ajraladi. So'ng haqiqatan muhim resursga yetib boring: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Uchalasi ham o'tsa, sozlamalar, DNS va marshrutlar yetib keldi; mijozdagi yashil belgi o'z-o'zidan bularning hech birini bildirmaydi.
Importdan keyin ikki nosozlik tez-tez ko'rinadi va ikkalasi ham faylga yuklanadi. Ommaviy nomlarning hal bo'lishi, ichkilari esa yo'qligi odatda profilning DNS serverlari tashlab yuborilganini yoki split-DNS saqlanmaganini bildiradi. Ko'tarilib, hech qanday trafik o'tkazmaydigan tunnel odatda marshrutlar yoki server tomonidagi ruxsat profilga ergashmaganini bildiradi. Xuddi shu arxivni qayta import qilish ikkalasini ham qayta hosil qiladi.
Eski Mac'ni iste'foga chiqarishdan oldin
Eksportni o'chirish bekor qilish emas. Agar eski qurilma sertifikat bilan autentifikatsiya qilgan bo'lsa, server o'sha sertifikatga u bekor qilinmaguncha yoki qayta berilmaguncha ishonadi. Agar u umumiy hisob bilan autentifikatsiya qilgan bo'lsa, o'sha hisobdagi seanslar hali tirik bo'lishi mumkin. Uskuna hali ko'z oldingizda bo'lganda server tomonidagi qadamni qiling.
Yangi profil kalitni o'z ichiga olsa, uni boshqa hisob ma'lumotlaringiz bilan saqlang va parolni mijozga kiriting, u faylga emas, yangi kalitlar bog'lamiga tushsin. Oxirgi tekshiruv: eski Mac o'chirilgan holatda almashtirgichdan ulaning. Faqat manba mashina onlayn bo'lganda ishlaydigan topshirish hech qachon to'liq bo'lmagan.