Mac VPN-ınız hər dəfə niyə Keychain girişi istəyir
Mac VPN-də hər sorğunu hansı komponentin yaratdığını müəyyən edin, təkrar bağlantı cəhdlərini dayandırın və bütün keychain-i sıfırlamadan Keychain girişini bərpa edin.
Connect düyməsinə bir klik bir giriş pəncərəsi yaratmalıdır. Mac-da bu, çox vaxt üç pəncərə yaradır və onlar nadir hallarda eyni sahibi paylaşır: lokal etimad məlumatı sorğularının sahibi Keychain-dir, VPN şlüzü autentifikasiyanın sahibidir, müştəri isə öz bildirişlərinin sahibidir. Hər şeyi səssiz edən bir açar axtarmaq əvəzinə, hər pəncərəni öz düzəlişi olan ayrı bir qüsur kimi qəbul edin. Aşağıdakı təlimat bir məqsədli bağlantı cəhdindən keçir və təkrarlaya biləcəyiniz yoxlama ilə bitir.
Hər dialoqun sahibini parametr dəyişdirməzdən əvvəl adlandırın
İlk addım konfiqurasiya deyil, uçotdur. Bir bağlantı cəhdi edin və görünən hər pəncərə üçün dörd sahə yazın: dialoqda göstərilən tətbiq adı, gizli heç nə olmadan dəqiq mətn, hansı mərhələdə göründüyü və onu ləğv etdikdə nə baş verdiyi. Belə üç sətir baxdığım demək olar ki, hər hesabatı əhatə edir.
Sahiblik düzgün düzəlişi müəyyən edir və yanlış düzəliş adətən bir sorğunu üçə çevirən şeydir:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Eyni cəhd daxilində qayıdan sorğu növbəti cəhddə qayıdandan fərqli bir siqnaldır. Birincisi adətən bağlantının altınızdan yenidən başladığını bildirir; ikincisi adətən saxlanılmış etimad məlumatının yenidən istənildiyini bildirir. Keychain-ə toxunmazdan əvvəl hansının sizdə olduğunu qeyd edin, çünki ikisinin demək olar ki, heç bir ortaqlığı yoxdur.
Tuneli neçə şeyin başlatdığını öyrənin
Mac-da eyni VPN-i dörd mexanizm başlada bilər: menyu çubuğu əməliyyatı, giriş elementi, On Demand qaydası və skript və ya agent. İkisi işə düşdükdə, ikinci başlanğıc birincisi hələ autentifikasiya gözləyərkən gələ bilər, bu da təkrar pəncərə və heç bir irəliləyiş yaratmır. Əvvəlcə nəyin konfiqurasiya olunduğunu sadalayın: scutil --nc list Sistem Parametrlərinin bildiyi VPN xidmətlərini cari statusu ilə çap edir. Öz şəbəkə uzantısını gətirən müştərilər profilləri tətbiqin içində saxlayır və orada görünməyə bilər, ona görə müştərinin öz bağlantı siyahısına da baxın.
Sonra rəqib başladıcıları axtarın. scutil --nc show "Work VPN" daxili xidmətin konfiqurasiya lüğətini, o cümlədən On Demand qaydalarını çap edir; hər hansı interfeys dəyişikliyində yenidən qoşulan qayda tuneli yenidən başladacaq — və autentifikasiya sorğusunu yenidən açacaq — hər dəfə Wi-Fi gəzəndə və ya ekran şəbəkə yığınını oyandıranda. Giriş elementlərini Sistem Parametrləri > Ümumi > Giriş Elementləri altında yoxlayın və istifadəçi üzrə agentləri bununla sadalayın ls ~/Library/LaunchAgents. MDM ilə idarə olunan təhlükəsizlik yığınına aid olan hər şeyə toxunmayın; onun silinməsi adətən növbəti yoxlamada geri qaytarılır.
Cəhd zamanı həqiqətən nəyin işlədiyini görmək üçün: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Bir əvəzinə iki müştəri köməkçisi «niyə iki sorğu aldım» sualını hər hansı etimad məlumatı problemindən qat-qat çox izah edir.
Keychain girişini keychain-i sıfırlamadan bərpa edin
Sorğu VPN protokolundan deyil, saxlanılmış elementin giriş nəzarəti siyahısından gəlir. Hər element hansı tətbiqlərin onu soruşmadan oxuya biləcəyini qeyd edir. Müştəri yenilənməsindən sonra soruşan köməkçi fərqli ad və ya imza daşıya bilər, element isə hələ köhnəni sadalayır, buna görə macOS hər bağlantıda yenidən soruşur. Yeni köməkçini yalnız həmin element üçün təsdiqləmək bütün düzəlişdir; hər tətbiqi təsdiqləmək deyil.
VPN-ə toxunmadan ACL-in səbəb olduğunu təsdiqləyə bilərsiniz: security find-generic-password -s "service-name" -g eyni elementi terminaldan oxuyur. Əgər bu əmr də sorğu yaradırsa, dialoq keychain-ə aiddir və tunel yalnız tətikdir. Apple-ın üç düymə haqqında təlimatı — Bir Dəfə İcazə Ver, Həmişə İcazə Ver, İmtina Et — bir dəfə oxumağa dəyər, çünki İmtina sorğunun növbəti cəhd əvəzinə dərhal qayıtmasına səbəb olan şeydir.
Yanlış köməkçini təsdiqləmisinizsə, elementi Keychain Access-də açın, Access Control bölməsinə keçin və həmin qeydi silin; geri qaytarma budur. Giriş keychain-ini silmək və ya onu yenidən quran bərpa alətini işə salmaq da əlaqəsiz parolları itirir və problemdən qat-qat böyük dəyişiklikdir.
Giriş və siyasət addımlarını onlara sahib olan axınlarda saxlayın
Brauzer girişi və ya MFA çağırışı şlüzə aiddir. Təşkilatınız sessiya davamlılığı və ya sertifikat əsaslı autentifikasiya təklif edirsə, ondan istifadə edin, çünki daha az autentifikasiya etməyin dəstəklənən yolu budur. Müştəriyə sabit kod yazmaq və ya sorğu heç görünməsin deyə skriptdə parol saxlamaq interaktiv amili statik sirrlə əvəz edir və siyasət növbəti dəfə dəyişəndə uğursuz olur.
Təşkilat bildirişləri yatırmamalı olduğunuz yeganə kateqoriyadır. Onlar adətən vəziyyət yoxlaması və ya məqbul istifadə təsdiqi tətbiq edir və onları gizlətmək tunel işləyərkən belə cihazı uyğunsuzluğa sala bilər. Xəta dialoqları digər kateqoriyadır: ilk xəta mətnini saxlayın, çünki ikinci dialoq çox vaxt təkrar cəhddən sonra eyni uğursuzluğun bildirilməsidir.
Bir cəhdlə, sonra yenidən başlatmadan sonra yoxlayın
Təkrar başladıcılar çıxarıldıqdan və keychain qeydi bərpa edildikdən sonra bir cəhd edin: menyu çubuğu köməkçisi daxil olmaqla hər müştəri nüsxəsini bağlayın, bir dəfə qoşulun və pəncərələri sayın. Keychain təsdiqini, element yenidən qurulubsa, və bir autentifikasiya addımı istəyirsiniz. Başqa heç nə. scutil --nc status "Work VPN" daxili xidmət üçün Connected bildirməlidir.
Sonra bir dəfə yenidən başladın və təkrarlayın. Yalnız yenidən başlatmadan sonra qayıdan sorğu giriş elementinə və ya On Demand qaydasına işarə edir, etimad məlumatına deyil; sessiya daxilində qayıdan isə ACL-ə və ya ikinci başladıcıya işarə edir. Hər iki keçiddən sonra hələ təkrarlanırsa, administratorunuza verməli olduğunuz faydalı şey ilk cəhddən olan üç sətirlik cədvəldir — sahib, dəqiq mətn, mərhələ — dialoqun ekran görüntüsü deyil.
Məqsəd daha az sorğudur, səssiz olanlar deyil. Avtorizasiya addımlarını gizlədən bağlantı artıq audit edə bilmədiyiniz bağlantıdır və növbəti sertifikat dövriyyəsi sizi hansı komponentin uğursuz olduğunu bilmədən tapacaq.