Chuyển quyền truy cập VPN sang Mac mới: cần ghi lại gì trước
Tên kết nối được sao chép không phải là danh tính đã chuyển. Ghi lại ứng dụng khách, nguồn hồ sơ và đường ủy quyền, sau đó chuẩn bị và kiểm tra Mac mới.
Việc chuyển đổi thất bại âm thầm: kết nối hiện trong thanh menu, hồ sơ được nhập, và xác thực vẫn thất bại vì Mac mới không phải thiết bị được ủy quyền. Mac cũ vẫn hoạt động, khiến việc trì hoãn lỗi trở nên dễ dàng cho đến khi máy cũ không còn. Một bản kiểm kê ngắn trước khi chuyển sẽ ngăn được phần lớn điều đó. Hãy ghi lại quyền truy cập phụ thuộc vào gì khi bạn còn đọc được từ máy đang chạy.
Kiểm kê quyền truy cập khi Mac cũ còn kết nối
Bắt đầu từ ứng dụng khách và giao thức, không phải từ tên kết nối. Tên là nhãn mà hồ sơ cũ đã chọn; phiên bản ứng dụng khách, giao thức và điểm cuối là những gì máy mới phải tái tạo. Ghi cả tên máy chủ chính xác của điểm cuối, vì việc di chuyển của nhà cung cấp có thể chuyển nó mà không đổi nhãn.
| Item | Where to read it | Why the new Mac needs it |
|---|---|---|
| Client and version | About screen or vendor download page | Profile format and defaults change between major versions |
| Profile source | MDM, vendor portal, exported file | Decides whether import or re-enrollment is supported |
| Identity type | Certificate, account login, SSO | Decides whether it can move or must be reissued |
| DNS and routes | Tunnel settings, split-tunnel rules | Same tunnel can behave differently with different resolver settings |
| Owner | IT, provider or you | Names the party who can approve the new device |
Mục danh tính nặng nhất. Tên người dùng và mã dùng một lần có thể nhập trên Mac mới, chứng chỉ có khóa xuất được đôi khi có thể nhập, còn chứng chỉ gắn với thiết bị có khóa không xuất được thì không thể chuyển chút nào. Ghi lại trường hợp nào áp dụng trước khi lập kế hoạch chuyển đổi. Nếu hai câu trả lời mâu thuẫn, hãy giải quyết trước khi sao chép bất cứ thứ gì.
Cuối cùng, ghi lại hành vi mạng dự kiến: đường hầm đầy đủ hay đường hầm chia tách, những tên nội bộ nào phải được phân giải và có mong đợi IPv6 đi trong đường hầm không. Từ đó sẽ thành các bài kiểm tra quyết định việc chuyển có thành công không.
Tách những gì có thể sao chép khỏi những gì phải cấp lại
Hồ sơ cấp người dùng, địa chỉ máy chủ và tùy chọn thường di chuyển được. Khóa riêng, chứng chỉ thiết bị và mã thông báo đăng ký thì không, vì giá trị của chúng phụ thuộc vào việc gắn với một máy. Hãy coi chúng là mục phải cấp lại và hỏi chủ sở hữu về đường được hỗ trợ. Mọi thứ khác có thể sao chép. Quy trình của chủ sở hữu, không phải trình hướng dẫn chuyển, quyết định loại nào áp dụng.
Dừng ở đây nếu danh tính gắn với thiết bị và không có đường cấp lại. Tiếp tục với khóa đã sao chép hoặc thất bại khi xác thực hoặc, tệ hơn, để cùng thông tin đăng nhập hoạt động trên hai máy mà không có bản ghi nào về máy thứ hai.
Đừng để khóa riêng hay mã khôi phục trong ghi chú hay tin nhắn trò chuyện trong lúc chuyển. Dùng chuỗi khóa, trình quản lý mật khẩu hoặc quy trình ký gửi của tổ chức, và đăng ký lại trình xác thực thay vì sao chép hạt giống của nó. Ghi chú chuyển đổi chứa thông tin đăng nhập sẽ trở thành bản sao thứ hai của thông tin đó.
Chuẩn bị Mac mới qua đường được hỗ trợ
Nếu Mac được quản lý, hãy đăng ký nó vào cùng hệ thống quản lý trước khi thêm cấu hình thủ công. Hệ thống quản lý sở hữu hồ sơ áp đặt, và hồ sơ nhập tay chồng lên đó tạo ra hai nguồn sự thật mâu thuẫn sau lần thay đổi chính sách tiếp theo.
Trên Mac không được quản lý, hãy cài ứng dụng khách từ bản tải hiện tại của nhà cung cấp và nhập hồ sơ theo phương pháp nhà cung cấp ghi lại. Các bản macOS gần đây yêu cầu phê duyệt cho cấu hình VPN và tiện ích hệ thống trong Quyền riêng tư và bảo mật, và tiện ích có thể cần khởi động lại trước khi đường hầm chạy. Apple ghi lại đường thiết lập VPN thủ công nếu bạn cần so sánh với ứng dụng của nhà cung cấp.
Xóa các định nghĩa trùng lặp khi bản mới hoạt động. Một mục cũ trong cài đặt Mạng và hồ sơ riêng của ứng dụng đều có thể trỏ tới cùng điểm cuối, và cái kết nối không phải lúc nào cũng là cái bạn nghĩ mình đã sửa.
Kiểm tra các đường mà Mac mới thực sự dùng
Kết nối và xác nhận đường hầm đang mang lưu lượng; sau đó kiểm tra phân giải tên và định tuyến thay vì tin vào biểu tượng thanh menu. macOS báo cáo bộ phân giải theo từng giao diện, nên máy chủ DNS nội bộ phải xuất hiện trên giao diện đường hầm và tên nội bộ phải phân giải qua nó. Cả hai lệnh dưới đây chỉ đọc trạng thái.
scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20Dừng nếu tên máy chủ nội bộ phân giải thành địa chỉ công cộng hoặc nếu tuyến mặc định vẫn trỏ tới giao diện vật lý trong khi thiết kế mong đợi đường hầm đầy đủ. Cả hai đều là dấu hiệu hồ sơ được nhập mà không có tuyến, hoặc có cấu hình khác đang ghi đè nó.
Lặp lại kiểm tra sau khi ngủ và sau khi vào mạng khác.Một kết nối sống sót qua lần đăng nhập đầu nhưng không qua lần gập nắp là một cuộc chuyển đổi sẽ thất bại trong sử dụng hàng ngày, và bắt được điều đó trước khi xóa Mac cũ chính là mục đích của danh sách.
Loại bỏ Mac cũ và thu hồi nó
Giữ thiết bị cũ kết nối cho đến khi thiết bị mới vượt qua các bài kiểm tra trên. Sau đó thu hồi thiết bị cũ qua bảng điều khiển của nhà vận hành hoặc hệ thống quản lý; xóa ứng dụng khỏi Mac cũ không thu hồi danh tính của nó, và hồ sơ đã sao chép vẫn có thể xác thực.
Sau khi thu hồi, gỡ hồ sơ, đăng xuất khỏi tài khoản và xóa đĩa nếu máy rời khỏi tầm kiểm soát của bạn. Kiểm tra danh sách thiết bị của nhà cung cấp thêm một lần để xác nhận mục cũ đã biến mất và mục mới được gắn nhãn đúng.
Nếu một bí mật chung hoặc thông tin đăng nhập của nhóm bị sao chép trong lúc chuyển, hãy xoay vòng ngay thay vì chờ thay đổi theo lịch tiếp theo. Việc chuyển kết thúc khi danh tính cũ đã chết, không phải khi biểu tượng mới chuyển xanh.