لماذا يطلب VPN على Mac إذن Keychain في كل مرة
حدّد أي مكوّن يطلق كل نافذة طلب في VPN على Mac، وأوقف محاولات الاتصال المكررة، وأصلح وصول Keychain دون إعادة تعيين سلسلة المفاتيح بأكملها.
نقرة واحدة على Connect يجب أن تنتج نافذة تسجيل دخول واحدة. على Mac غالبًا ما تنتج ثلاثًا، ونادرًا ما تتشارك مالكًا واحدًا: سلسلة المفاتيح تملك مطالبات بيانات الاعتماد المحلية، وبوابة VPN تملك المصادقة، والعميل يملك إشعاراته الخاصة. بدلًا من البحث عن مفتاح يكتم كل شيء، عامل كل نافذة كعيب منفصل له إصلاحه الخاص. يمر دليل التشغيل أدناه بمحاولة اتصال واحدة متعمدة وينتهي بفحص يمكنك تكراره.
سمِّ مالك كل مربع حوار قبل تغيير أي إعداد
الخطوة الأولى محاسبة، لا تهيئة. نفّذ محاولة اتصال واحدة، ولكل نافذة تظهر دوّن أربعة حقول: اسم التطبيق الظاهر في مربع الحوار، والنص الحرفي دون أي شيء سري، والمرحلة التي ظهر فيها، وما حدث عندما ألغيته. ثلاثة صفوف كهذه تغطي تقريبًا كل تقرير نظرت إليه.
الملكية تحدد الإصلاح الصحيح، والإصلاح الخاطئ هو عادة ما يحوّل مطالبة واحدة إلى ثلاث:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
المطالبة التي تعود داخل المحاولة نفسها إشارة مختلفة عن التي تعود في المحاولة التالية. الأولى تعني عادة أن الاتصال أُعيد تشغيله تحتك؛ والثانية تعني عادة أن بيانات اعتماد مخزنة يُطلب منها مجددًا. لاحظ أي الحالتين لديك قبل أن تلمس سلسلة المفاتيح، لأن الحالتين لا تشتركان تقريبًا في شيء.
اكتشف كم شيئًا يبدأ النفق
أربع آليات يمكن أن تبدأ VPN نفسه على Mac: إجراء في شريط القوائم، وعنصر تسجيل دخول، وقاعدة On Demand، وسكربت أو وكيل. عندما يعمل اثنان منها، قد تصل البداية الثانية بينما الأولى ما زالت تنتظر المصادقة، ما ينتج نافذة مكررة وبلا تقدم. اسرد أولًا ما هو مُهيأ: scutil --nc list يطبع خدمات VPN التي تعرفها إعدادات النظام مع حالتها الحالية. العملاء الذين يشحنون امتداد شبكة خاصًا بهم يحتفظون بملفات التعريف داخل التطبيق وقد لا يظهرون هناك، لذا تحقق أيضًا من قائمة اتصالات العميل نفسه.
ثم ابحث عن بدايات متنافسة. scutil --nc show "Work VPN" يطبع قاموس تهيئة خدمة مدمجة، بما في ذلك قواعد On Demand؛ والقاعدة التي تعيد الاتصال عند أي تغيير في الواجهة ستعيد تشغيل النفق — وتعيد فتح مطالبة المصادقة — كلما تجوّل Wi-Fi أو أيقظت شاشة مكدس الشبكة. تحقق من عناصر تسجيل الدخول تحت إعدادات النظام > عام > عناصر تسجيل الدخول، واسرد الوكلاء لكل مستخدم باستخدام ls ~/Library/LaunchAgents. اترك أي شيء تملكه حزمة أمان يديرها MDM وشأنه؛ فإزالته عادة ما تُدفع مرة أخرى عند تسجيل الوصول التالي.
لمعرفة ما يعمل فعليًا أثناء المحاولة: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. مساعدان للعميل حيث تتوقع واحدًا يفسّران «لماذا حصلت على مطالبتين» أكثر بكثير من أي مشكلة في بيانات الاعتماد.
أصلح وصول سلسلة المفاتيح دون إعادة تعيين سلسلة المفاتيح
تأتي المطالبة من قائمة التحكم في الوصول للعنصر المخزن، لا من بروتوكول VPN. يسجل كل عنصر أي التطبيقات يمكنها قراءته دون سؤال. بعد تحديث العميل، قد يحمل المساعد الذي يسأل اسمًا أو توقيعًا مختلفًا بينما لا يزال العنصر يدرج القديم، لذا يسأل macOS مرة أخرى عند كل اتصال. الموافقة للمساعد الجديد على ذلك العنصر وحده هي الإصلاح كله؛ الموافقة لكل تطبيق ليست كذلك.
يمكنك التأكد من أن قائمة التحكم في الوصول هي السبب دون لمس VPN: security find-generic-password -s "service-name" -g يقرأ العنصر نفسه من طرفية. إذا أطلقت تلك الأوامر المطالبة أيضًا، فمربع الحوار ينتمي إلى سلسلة المفاتيح والنفق مجرد محفّز. إرشادات Apple حول الأزرار الثلاثة — السماح مرة واحدة، السماح دائمًا، الرفض — تستحق قراءة واحدة، لأن الرفض هو ما يجعل المطالبة تعود فورًا بدلًا من المحاولة التالية.
إذا وافقت على المساعد الخاطئ، افتح العنصر في Keychain Access، وانتقل إلى Access Control، وأزل ذلك الإدخال؛ هذا هو التراجع. حذف سلسلة مفاتيح تسجيل الدخول، أو تشغيل أداة إصلاح تعيد بناءها، يتخلص أيضًا من كلمات مرور غير ذات صلة وهو تغيير أكبر بكثير من المشكلة.
أبقِ خطوات تسجيل الدخول والسياسة في التدفقات التي تملكها
تسجيل الدخول عبر المتصفح أو تحدٍّ MFA ينتمي إلى البوابة. إذا كانت مؤسستك توفر استمرارية الجلسة أو المصادقة القائمة على الشهادات، فاستخدمها، لأنها الطريقة المدعومة للمصادقة بوتيرة أقل. كتابة رمز ثابت في عميل، أو تخزين كلمة مرور في سكربت بحيث لا تظهر المطالبة أبدًا، يستبدل عاملًا تفاعليًا بسر ثابت ويفشل في المرة التالية التي تدور فيها السياسة.
إشعارات المؤسسة هي الفئة الوحيدة التي لا ينبغي كتمها. فهي عادة تفرض فحص وضع أو إقرار استخدام مقبول، وإخفاؤها قد يخرج الجهاز عن الامتثال حتى مع عمل النفق. مربعات حوار الأخطاء هي الفئة الأخرى: احتفظ بنص الخطأ الأول، لأن مربع الحوار الثاني غالبًا ما يكون مجرد الفشل نفسه بعد إعادة المحاولة.
تحقق بمحاولة واحدة، ثم بعد إعادة تشغيل
بعد إزالة البدايات المكررة وإصلاح إدخال سلسلة المفاتيح، نفّذ محاولة واحدة: أغلق كل نسخة من العميل بما في ذلك مساعد شريط القوائم، واتصل مرة، وعُدّ النوافذ. تريد موافقة سلسلة المفاتيح، إن أُعيد بناء العنصر، وخطوة مصادقة واحدة. لا أكثر. scutil --nc status "Work VPN" يجب أن يبلّغ Connected لخدمة مدمجة.
ثم أعد التشغيل مرة وكرر. المطالبة التي تعود فقط بعد إعادة تشغيل تشير إلى عنصر تسجيل دخول أو قاعدة On Demand، لا إلى بيانات اعتماد؛ والتي تعود داخل الجلسة تشير إلى قائمة التحكم في الوصول أو إلى بداية ثانية. إذا ظلت تتكرر بعد المرورين، فالشيء المفيد لتسليمه إلى المسؤول هو جدول الصفوف الثلاثة من المحاولة الأولى — المالك، والنص الحرفي، والمرحلة — لا لقطة شاشة لمربع الحوار.
مطالبات أقل هو الهدف، لا مطالبات صامتة. الاتصال الذي يخفي خطوات التفويض هو اتصال لم يعد بإمكانك تدقيقه، وستجدك دورة الشهادات التالية بلا فكرة عن أي مكوّن يفشل.