把 VPN 访问迁到新 Mac：先记录哪些信息

复制来的连接名并不等于已迁移的身份。先记下客户端、配置文件来源和授权路径，再配置并验证新 Mac。

迁移会悄悄失败：连接出现在菜单栏，配置文件也导入了，认证却仍然失败，原因是新 Mac 不是被授权的设备。旧 Mac 照常工作，于是这个故障很容易被一直拖到旧机器处理掉为止。切换前做一次简短清点，就能防住大部分问题。趁你还读得到，把访问所依赖的东西从能用的机器上记下来。

趁旧 Mac 还能连上，先把访问清点一遍

从客户端和协议开始，而不是从连接名开始。名字只是旧配置文件起的标签；新机器要复现的是客户端版本、协议和端点。端点的准确主机名也要记下，因为服务商迁移可能在改标签的情况下把它挪走。

ItemWhere to read itWhy the new Mac needs it
Client and versionAbout screen or vendor download pageProfile format and defaults change between major versions
Profile sourceMDM, vendor portal, exported fileDecides whether import or re-enrollment is supported
Identity typeCertificate, account login, SSODecides whether it can move or must be reissued
DNS and routesTunnel settings, split-tunnel rulesSame tunnel can behave differently with different resolver settings
OwnerIT, provider or youNames the party who can approve the new device

分量最重的是身份那一项。用户名加一次性验证码可以在新 Mac 上重新输入，带可导出密钥的证书有时可以导入，而绑定设备、密钥不可导出的证书根本无法搬走。在规划切换之前，先记下你属于哪种情况。如果两个答案互相矛盾，先把矛盾解决，再复制任何东西。

最后记下预期的网络行为：全隧还是分流，哪些内部域名必须能解析，隧道里是否要求走 IPv6。这些会成为判断迁移是否成功的测试项。

把可以复制的内容和必须重新签发的内容分开

用户级配置文件、服务器地址和偏好设置通常可以迁移。私钥、设备证书和注册令牌不行，因为它们的价值在于绑定在某台机器上。把这类东西当成需要重新签发的条目，向所有者确认受支持的路径。其余都可以考虑复制。决定归属的是所有者的流程，而不是迁移向导。

如果身份绑定设备、又没有重新签发的途径，就停在这里。拿着复制来的私钥继续，要么在认证环节失败，要么更糟：同一份凭据在两台机器上都有效，而第二台没有任何记录。

迁移过程中不要把私钥或恢复码留在便签或聊天记录里。用钥匙串、密码管理器或组织的托管流程，认证器要重新注册而不是复制种子。含有凭据的迁移笔记，等于那份凭据的第二份副本。

通过受支持的路径配置新 Mac

如果 Mac 受管，先把它注册到同一套管理系统，再添加手动配置。管理系统持有强制下发的配置文件，在它之上再手动导入一份，就会造出两个在下次策略变更后互相打架的事实来源。

在非受管 Mac 上，从服务商当前的下载安装客户端，并按服务商文档的方法导入配置文件。较新的 macOS 要求在“隐私与安全性”里批准 VPN 配置和系统扩展，有些扩展还要重启一次隧道才能起来。Apple 记录了手动 VPN 配置路径 ，需要时可以和服务商应用对照。

新配置能用之后，删掉重复的定义。网络设置里的残留条目和应用自己的配置文件可能指向同一个端点，而真正连上的未必是你以为改过的那一个。

验证新 Mac 实际会走的路径

连上之后先确认隧道确实在承载流量，再检查域名解析和路由，而不是只看菜单栏图标。macOS 会按接口报告解析器，所以内部 DNS 服务器应该出现在隧道接口上，内部域名也应该经它解析。下面两条命令都只读取状态。

scutil --dns | head -40
netstat -rn -f inet | head -20
netstat -rn -f inet6 | head -20

如果内部主机名解析成了公网地址，或者设计上要求全隧而默认路由仍指向物理接口，就停下来。这两种都说明配置文件导入时没带上路由，或者被别的配置覆盖了。

睡眠之后、接入另一个网络之后，把测试再做一遍。能熬过首次登录、却熬不过合盖的连接 就是会在日常使用里出问题的迁移；在抹掉旧 Mac 之前抓到它，正是这张清单的意义。

让旧 Mac 退役并吊销它

在新机器通过上面的测试之前，让旧设备保持连接。然后再从运营方控制台或管理系统吊销旧设备；只从旧 Mac 上删掉应用并不会吊销它的身份，复制来的配置文件仍然能通过认证。

吊销之后，删除配置文件、退出账号，如果机器要离开你的控制就抹掉磁盘。再核对一次服务商的设备列表，确认旧条目已经消失、新条目标注正确。

如果迁移过程中复制过共享密钥或团队凭据，现在就轮换，不要等下一次计划变更。迁移结束的标志是旧身份作废，而不是新图标变绿。

相关文章