Một tệp xuất VPN trên Mac chứa gì và bỏ lại gì

Nhấp Export trong một ứng dụng VPN trên Mac và bạn nhận được tệp mô tả một kết nối mà không phải là kết nối. Địa chỉ máy chủ, cổng, giao thức và thường cả chứng chỉ nằm bên trong. Mật khẩu đăng nhập, cụm mật khẩu của khóa riêng và đăng ký cấp quyền cho đúng chiếc Mac này thường không có. Vì thế một hồ sơ có thể được nhập sạch sẽ, xuất hiện trong danh sách của ứng dụng và vẫn thất bại ở yêu cầu xác thực đầu tiên; khoảng trống này là thuộc tính của định dạng, không phải bản tải xuống hỏng.

Tệp được xuất thực sự chứa gì

Một bản xuất là vật chứa, và phần mở rộng tệp nói ít hơn nội dung. Hồ sơ OpenVPN là văn bản: chỉ thị, cùng các khối <ca>, <cert> và <key> nội tuyến tùy chọn. Cấu hình Tunnelblick là các kho lưu trữ nén của cấu hình và cài đặt. Một .mobileconfig được quản lý là plist của các tải trọng. Hai bản liệt kê trả lời phần lớn câu hỏi trước khi bạn nhập bất cứ thứ gì.

Với hồ sơ văn bản, hãy đếm các khối PEM mà nó mang theo: grep -c "PRIVATE KEY" your-profile.ovpn. Kết quả khác không nghĩa là tệp chứa vật liệu khóa và phải được xử lý như mật khẩu từ lúc đó. Với kho lưu trữ, hãy liệt kê mà không giải nén: tar -tf export.tbz, hoặc unzip -l export.zip nếu ứng dụng đã tạo zip. Các tệp khóa, tệp chứng chỉ và script lên hoặc xuống trong bản liệt kê đó là những phần mà việc cấp lại tài khoản người dùng sẽ không tạo lại.

Trường hợp ngược lại cũng quan trọng như vậy. Khi hồ sơ trỏ tới một khóa theo tên tệp thay vì nhúng nó, bản xuất cố ý không đầy đủ và nửa còn thiếu phải đến từ nơi đã cấp nó. Sao chép tệp đó bên cạnh là ổn khi bạn sở hữu tổ chức chứng thực; không ổn khi tệp đi kèm một chứng chỉ gắn với thiết bị được tạo trên chiếc Mac cũ.

Vì sao nửa chuỗi khóa không bao giờ đi cùng

macOS giữ mật khẩu VPN và cụm mật khẩu của khóa trong chuỗi khóa đăng nhập, và các ứng dụng lưu chúng ở đó thay vì trong tệp cài đặt riêng. Tunnelblick nói điều đó trong hướng dẫn xuất và nhập của nó: kho lưu trữ cấu hình mang theo cấu hình và cài đặt và bỏ ra ngoài tên người dùng, mật khẩu và cụm mật khẩu được giữ trong chuỗi khóa. Việc bỏ qua là có chủ ý. Các mục trong chuỗi khóa được bảo vệ theo người dùng và theo máy, nên một mục bị sao chép không có kiểm soát truy cập hợp lệ ở đích, điều này để lại hoặc một tệp vô dụng hoặc một bí mật dạng văn bản thuần.

Bạn có thể xác nhận thông tin đăng nhập sống ở đâu trước khi lên kế hoạch chuyển. security find-internet-password -s vpn.example.com in các thuộc tính của một mục khớp và thoát với mã khác không khi không có mục nào; cùng lệnh đó với -g sẽ yêu cầu tiết lộ mật khẩu, vì thế truy vấn không có nó là bước kiểm tra an toàn hơn. Tìm thấy ở đó nghĩa là hồ sơ không mang mật khẩu và không thể bị buộc phải mang. Điều đó cũng có nghĩa mật khẩu sẽ được hỏi lại trên Mac mới, và quyền «Luôn cho phép» trên máy cũ không có giá trị gì ở đó.

Tuy nhiên không phải mọi bí mật đều là mục trong chuỗi khóa. Tài liệu gói của chính Tunnelblick lưu ý rằng một gói có thể chứa tệp khóa, chứng chỉ và script. Vì thế việc bản xuất loại trừ các mục chuỗi khóa không phải là cùng một khẳng định với việc bản xuất an toàn để gửi qua email; hãy coi kho lưu trữ là nhạy cảm cho đến khi bạn liệt kê được nó chứa gì.

VPN gốc và được quản lý không có đường xuất

Các kết nối được cấu hình qua Cài đặt Hệ thống không cung cấp bản xuất được hỗ trợ. scutil --nc list hiển thị các dịch vụ mà hệ thống biết, và scutil --nc show "Work VPN" in cấu hình của một dịch vụ, đủ để đọc máy chủ và giao thức của nó. Cả hai đều không phải công cụ di chuyển. Các định danh dịch vụ được lưu trong /Library/Preferences/SystemConfiguration/preferences.plist là tham chiếu vào tệp đó, nên sao chép tệp và viết lại định danh không phải là chuyển giao được hỗ trợ và có thể làm nhiễu các dịch vụ mạng không liên quan ở đích.

Đường được hỗ trợ là đường Apple ghi trong tài liệu: cài một tệp cài đặt VPN do quản trị viên cung cấp, hoặc nhập cài đặt mà nhà vận hành đưa cho bạn. Khi kết nối được quản lý, hãy yêu cầu một tệp mới hoặc một đăng ký mới thay vì dựng lại nó từ ảnh chụp hộp thoại cũ. Với hồ sơ do MDM đẩy, tải trọng chứng chỉ có thể mang danh tính trong khi khóa riêng được tạo trên thiết bị, và trong trường hợp đó ngay cả một bản sao hoàn hảo của hồ sơ cũ cũng không thể xác thực chiếc Mac mới.

Xác minh việc khôi phục thay vì tin vào danh sách

Một hồ sơ trong danh sách và một đường hầm đang hoạt động là hai trạng thái khác nhau, và chỉ một trong hai đáng để báo cáo. Sau khi nhập và kết nối, hãy kiểm tra giao diện đường hầm có tồn tại, rồi kiểm tra đường hầm đang làm gì.

ifconfig | grep -A3 utun hiển thị giao diện đường hầm và các địa chỉ của nó. scutil --dns | grep nameserver hiển thị những bộ phân giải nào đang hoạt động sau kết nối, và đó là nơi các hồ sơ split-DNS thường khác nhau. Sau đó tiếp cận tài nguyên thực sự quan trọng: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Nếu cả ba đều qua, cài đặt, DNS và tuyến đã đến; một biểu tượng xanh trong ứng dụng tự nó không có nghĩa gì trong số đó.

Hai lỗi thường xuất hiện sau khi nhập và cả hai đều bị đổ cho tệp. Việc tên công khai phân giải được còn tên nội bộ thì không thường có nghĩa là máy chủ DNS của hồ sơ đã bị bỏ hoặc split-DNS không được giữ. Một đường hầm dựng lên mà không cho lưu lượng đi qua thường có nghĩa là tuyến hoặc ủy quyền phía máy chủ không đi theo hồ sơ. Nhập lại cùng kho lưu trữ sẽ tái tạo cả hai.

Trước khi cho chiếc Mac cũ nghỉ hưu

Xóa bản xuất không phải là thu hồi. Nếu thiết bị cũ xác thực bằng chứng chỉ, máy chủ vẫn tin chứng chỉ đó cho đến khi nó bị thu hồi hoặc cấp lại. Nếu nó xác thực bằng một tài khoản dùng chung, các phiên trên tài khoản đó có thể vẫn còn sống. Hãy làm bước phía máy chủ khi phần cứng còn ở trước mặt bạn.

Lưu hồ sơ mới cùng các thông tin đăng nhập khác khi nó chứa khóa, và gõ mật khẩu vào ứng dụng để nó vào chuỗi khóa mới chứ không vào một tệp. Kiểm tra cuối: kết nối từ máy thay thế khi Mac cũ đã tắt. Một bàn giao chỉ hoạt động khi máy nguồn còn trực tuyến thì chưa bao giờ trọn vẹn.