Waarom jou Mac-VPN elke keer Keychain-toegang vra
Wys watter komponent elke Mac-VPN-aansporing veroorsaak, stop dubbele verbindingspogings en herstel Keychain-toegang sonder om die hele sleutelbos te herstel.
Een klik op Connect behoort een aanmeldvenster te lewer. Op 'n Mac lewer dit dikwels drie, en hulle deel selde 'n eienaar: die Keychain besit plaaslike geloofsbrief-aansporings, die VPN-gateway besit verifikasie, en die kliënt besit sy eie kennisgewings. Pleks daarvan om na 'n skakelaar te soek wat alles stilmaak, hanteer elke venster as 'n aparte fout met sy eie oplossing. Die runbook hieronder werk deur een doelbewuste verbindingspoging en eindig met 'n kontrole wat jy kan herhaal.
Noem elke dialoog se eienaar voordat jy 'n instelling verander
Die eerste stap is boekhouding, nie konfigurasie nie. Voer een verbindingspoging uit en skryf vir elke venster wat verskyn vier velde neer: die app-naam in die dialoog, die presiese teks sonder enigiets geheims, die fase waarin dit verskyn het, en wat gebeur het toe jy dit gekanselleer het. Drie sulke rye dek byna elke verslag wat ek al gesien het.
Eienaarskap bepaal die korrekte oplossing, en die verkeerde oplossing is gewoonlik wat een aansporing in drie verander:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
A prompt wat binne dieselfde poging terugkom, is 'n ander sein as een wat by die volgende poging terugkom. Die eerste beteken gewoonlik dat die verbinding onder jou herbegin het; die tweede beteken gewoonlik dat 'n gestoorde geloofsbrief weer gevra word. Let op watter een jy het voordat jy die sleutelbos aanraak, want die twee het amper niks gemeen nie.
Vind uit hoeveel dinge die tonnel begin
Vier meganismes kan dieselfde VPN op 'n Mac begin: 'n menu-balkaksie, 'n aanmelditem, 'n On Demand-reël en 'n script of agent. Wanneer twee daarvan vuur, kan die tweede begin aankom terwyl die eerste nog op verifikasie wag, wat 'n duplikaatvenster en geen vordering lewer nie. Lys eers wat opgestel is: scutil --nc list wys die VPN-dienste wat Stelselinstellings ken, met hul huidige status. Kliënte wat hul eie netwerkuitbreiding saambring, hou profiele binne die app en verskyn miskien nie daar nie, so kyk ook na die kliënt se eie verbindingslys.
Kyk dan vir mededingende bewegings. scutil --nc show "Work VPN" wys 'n ingeboude diens se konfigurasiewoordeboek, insluitend On Demand-reëls; 'n reël wat by enige koppelvlakverandering weer verbind, sal die tonnel herbegin — en die verifikasie-aansporing heropen — elke keer as Wi-Fi swerf of 'n skerm die netwerkstapel wakker maak. Kyk na aanmelditems onder Stelselinstellings > Algemeen > Aanmelditems, en lys per-gebruiker-agente met ls ~/Library/LaunchAgents. Los enigiets wat deur 'n MDM-bestuurde sekuriteitstapel besit word, staan; om dit te verwyder word gewoonlik by die volgende aanmelding teruggesit.
Om te sien wat werklik tydens 'n poging loop: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Twee kliënthelpers waar jy een verwag, verduidelik "hoekom het ek twee aansporings gekry" baie meer dikwels as enige geloofsbriefprobleem.
Herstel sleutelbos-toegang sonder om die sleutelbos te herstel
Die aansporing kom van die gestoorde item se toegangsbeheellys, nie van die VPN-protokol nie. Elke item teken aan watter programme dit sonder vrae mag lees. Ná 'n kliëntopdatering kan die helper wat vra 'n ander naam of handtekening hê terwyl die item nog die ou een lys, so macOS vra weer by elke verbinding. Om die nuwe helper vir daardie een item goed te keur, is die hele oplossing; om elke program goed te keur, is nie.
Jy kan bevestig dat die ACL die oorsaak is sonder om die VPN aan te raak: security find-generic-password -s "service-name" -g lees dieselfde item vanaf 'n terminaal. As daardie opdrag ook die aansporing laat verskyn, behoort die dialoog aan die sleutelbos en is die tonnel net die sneller. Apple se leiding oor die drie knoppies — Laat Een Keer Toe, Laat Altyd Toe, Weier — is werd om een keer te lees, want Weier is wat die aansporing dadelik laat terugkom eerder as by die volgende poging.
As jy die verkeerde helper goedgekeur het, maak die item in Keychain Access oop, skakel oor na Access Control en verwyder daardie inskrywing; dit is die terugrol. Om die aanmeld-sleutelbos te verwyder, of 'n herstelprogram te laat loop wat dit herbou, gooi ook onverwante wagwoorde weg en is 'n veel groter verandering as die probleem.
Hou aanmeld- en beleidstappe in die vloeie wat hulle besit
'n Blaaier-aanmelding of MFA-uitdaging behoort aan die gateway. As jou organisasie sessie-volharding of sertifikaat-gebaseerde verifikasie bied, gebruik dit, want dit is die ondersteunde manier om minder dikwels te verifieer. Om 'n vaste kode in 'n kliënt te tik, of 'n wagwoord in 'n script te stoor sodat die aansporing nooit verskyn nie, vervang 'n interaktiewe faktor met 'n statiese geheim en misluk die volgende keer as beleid roteer.
Organisasie-kennisgewings is die een kategorie wat jy nie moet onderdruk nie. Hulle dwing gewoonlik 'n postuur-kontrole of 'n erkentlikheid van aanvaarbare gebruik af, en om hulle te versteek kan die toestel uit nakoming plaas selfs terwyl die tonnel werk. Foutdialoë is die ander kategorie: hou die eerste fouteks, want 'n tweede dialoog is dikwels net dieselfde mislukking wat ná 'n herpoging gerapporteer word.
Verifieer met een poging, dan ná 'n herbegin
Met duplikaat-beginners verwyder en die sleutelbos-inskrywing herstel, voer 'n enkele poging uit: sluit elke kliënt-instansie insluitend die menu-balkhelper, verbind een keer, en tel die vensters. Jy wil die sleutelbos-goedkeuring hê, as die item herbou is, en een verifikasiestap. Niks meer nie. scutil --nc status "Work VPN" behoort Connected te rapporteer vir 'n ingeboude diens.
Herbegin dan een keer en herhaal. 'n Aansporing wat net ná 'n herbegin terugkom, wys op 'n aanmelditem of 'n On Demand-reël, nie op geloofsbriewe nie; een wat binne die sessie terugkom, wys op die ACL of op 'n tweede beginner. As dit ná albei rondtes steeds herhaal, is die nuttige ding om aan jou administrateur te gee die drie-ry-tabel van die eerste poging — eienaar, presiese teks, fase — nie 'n skermskoot van die dialoog nie.
Minder aansporings is die doel, nie stil s'n nie. 'n Verbinding wat sy magtigingstappe wegsteek, is 'n verbinding wat jy nie meer kan ouditeer nie, en die volgende sertifikaat-rotasie sal jou vind sonder enige idee watter komponent misluk.