Mac увесь час запытвае пароль VPN: звязка ключоў ці ўліковы запіс?
Mac можа запытаць пароль звязкі ключоў уваходу, пароль адміністратара або сам уліковы запіс VPN. Вызначце, каму належыць дыялог, і выпраўце патрэбнае сховішча.
Вы разблакіроўваеце Mac, адкрываеце кліент VPN, і акно з паролем з'яўляецца яшчэ да запуску тунэля. Вы ўводзіце пароль шлюза, і ці яго адхіляюць, ці акно вяртаецца праз імгненне. Потым яно пытае зноў пасля абуджэння са сну, выхаду з сістэмы або абнаўлення кліента. Гэта акно рэдка бывае запытам сервера VPN на ўліковыя даныя; звычайна macOS просіць дазволу прачытаць, разблакіраваць або змяніць лакальны запіс, і пароль належыць уладальніку гэтага запісу, а не вашаму ўліковаму запісу VPN.
Супстаўце акно з тым, хто за ім стаіць
Чатыры запыты выглядаюць амаль аднолькава, і толькі адзін датычыцца шлюза. Фармулёўка, працэс, які просіць доступ, і элемент, названы ніжэй, падказваюць, з якім вы сутыкнуліся.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Дыялог пра лакальны доступ нічога не даказвае пра сервер. Адмова шлюза з'яўляецца ўнутры кліента з тэкстам памылкі ад вытворцы, а не як сістэмнае акно з прапановай разблакіраваць звязку ключоў. Адваротнае сустракаецца гэтак жа часта: увод пароля шлюза ў акно звязкі ключоў пакідае запіс заблакіраваным і дадае няўдалую спробу.
Дыялог называе ўладальніка, сховішча і дзеянне
Запыты звязкі ключоў датычацца вымання, а не аўтэнтыфікацыі на чымсьці аддаленым. Апісанне Apple дыялогу запыту вузкае: «Дазволіць адзін раз», «Дазваляць заўсёды» і «Адхіліць» кіруюць тым, ці можа гэтая праграма прачытаць захаваны элемент. Ніводзін з трох не дае прывілею на шлюзе і не змяняе таго, што сервер думае пра ваш пароль.
Калі запытчык — кліент, які толькі што абнавіўся, паўторнае адабрэнне чаканае: новая зборка ўжо не адпавядае спісу кантролю доступу на элеменце, таму macOS пытае зноў. Падчас дыягностыкі адказвайце «Дазволіць адзін раз». «Дазваляць заўсёды» — гэта пастаянны дазвол гэтай праграме і няправільны адказ для дапаможнага працэсу, якога вы не чакалі; адхіліце і праверце вытворцу, калі бінарнік не той кліент, які вы ўсталявалі.
Запыт адміністратарскага дазволу — гэта трэцяя рэч. Ён называе сістэмную настройку або абароненае сховішча, якое змяняецца, і патрабуе ўліковыя даныя адміністратара на гэтым Mac. Не кожнаму асабістаму элементу звязкі ключоў гэта патрэбна; тым, што за сеткавай канфігурацыяй, звычайна так, бо канфігурацыя належыць сістэме, а не вашай сесіі ўваходу.
Дзе можа жыць пароль VPN на Mac
Звязка ключоў — адно з магчымых сховішчаў, а не вызначэнне сховішча. Убудаваная канфігурацыя VPN, створаная ў «Сістэмных настройках», трымае свае ўліковыя даныя разам з сеткавай канфігурацыяй як кіраваная сістэмная настройка. Кліент трэцяга боку звычайна трымае элемент у вашай звязцы ключоў уваходу: агульны пароль з ключом па назве службы або інтэрнэт-пароль з ключом па серверы, пратаколе і ўліковым запісе. Многія новыя праграмы выкарыстоўваюць замест гэтага звязку ключоў аховы даных, элементы якой ніколі не з'яўляюцца ў «Доступе да звязкі ключоў».
Людзі шукаюць у «Доступе да звязкі ключоў» назву VPN, нічога не знаходзяць і робяць выснову, што пароль не захаваны. Заўвага Apple TN3137 кажа, што існуе больш за адну рэалізацыю звязкі ключоў; адсутнасць у тым спісе — норма, а не доказ зламанага элемента.
Тыпы запісаў таксама не ўзаемазаменныя. Пароль уліковага запісу, парольная фраза прыватнага ключа, сертыфікат кліента і агульны сакрэт IPsec адмаўляюць па-рознаму і рамантуюцца ў розных месцах; паўторны ўвод захаванага пароля нічога не робіць для адхіленага сертыфіката. Калі Mac уключаны ў кіраванне, профіль — яшчэ адзін уладальнік: карысная нагрузка VPN можа несці ўліковыя даныя і паўторна ўжываць іх пры абнаўленні, таму выдаленне лакальнага элемента часовае, пакуль адміністратар яго не зменіць.
Калі пароль уваходу і пароль звязкі ключоў разыходзяцца
Звязка ключоў уваходу звычайна выкарыстоўвае ваш пароль уваходу ў Mac, таму яны могуць разыходзіцца. Адміністратар, які скідвае ваш пароль з іншага ўліковага запісу, працэс аднаўлення або змена ў каталозе могуць пакінуць звязку ключоў заблакіраванай на старым значэнні, і тады macOS просіць пароль, які вы толькі што не задавалі.
Пры ўваходзе вы можаце ўбачыць папярэджанне, што сістэма не здолела разблакіраваць звязку ключоў. Для абнаўлення патрэбны стары пароль, што добра, калі вы яго памятаеце, і бескарысна, калі не. Два сумленныя раманты: «Доступ да звязкі ключоў», «Праўка», «Змяніць пароль для звязкі ключоў "login"», або новая звязка ключоў уваходу з паўторным уводам патрэбных уліковых даных. Другі варыянт знішчае захаваныя элементы.
Не скідвайце ўсю звязку ключоў праз тое, што адзін VPN адхіляе старыя ўліковыя даныя: гэта выдаліць незвязаныя ўліковыя запісы і ўсё роўна не вызначыць элемент.
Адна каманда вырашае пытанне «лакальна ці аддалена». Запытайце ў звязкі ключоў элемент напрамкі:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gВыкарыстоўвайце сервер і ўліковы запіс з настройкаў вашага кліента. Калі пры вашым уласным запыце да звязкі ключоў з'яўляецца тое ж акно адабрэння, запыт лакальны, а сервер — пабочны назіральнік. Калі такога элемента няма, кліент не захоўвае пароль там, дзе вы меркавалі. Сцяг -g друкуе сакрэт у тэрмінал, таму пазбягайце сумеснага выкарыстання экрана.
Абнавіце запіс, які кліент сапраўды чытае
Калі ўліковы запіс змяніўся на шлюзе, змяніце яго спачатку там, потым абнавіце захаваны запіс праз настройкі кліента. Ручное рэдагаванне элемента звязкі ключоў ненадзейнае: кліент можа чытаць іншую пару «служба—ўліковы запіс», а кіраваны профіль перазапіша вашу праўку.
Для элемента, які падаецца састарэлым, супастаўце службу, уліковы запіс і пратакол, перш чым нешта выдаляць:
security delete-generic-password -s "Client Name" -a [email protected]Выдаленне падобна названага элемента з іншага злучэння — частая памылка, якая сама сябе стварае. Выдаленне толькі лакальнае: яно не адклікае сесію на шлюзе, не адвязвае сертыфікат прылады і не змяняе пароль уліковага запісу.
Пераканайцеся, што выпраўленне перажывае перазагрузку
Падключыцеся, абудзіцеся са сну, выйдзіце і зноў увайдзіце, потым адзін раз перазагрузіцеся. Чыстая паслядоўнасць без акна і статус кліента з патрэбным уліковым запісам — адзіны доказ, які мае значэнне. Месца, дзе запыт вяртаецца, паказвае, які пласт вы прапусцілі: пасля абнаўлення гэта адабрэнне, пасля змены сеткі — уласны запыт кліента, пасля перазагрузкі — профіль, які паўторна ўжывае стан.
Праверце ў кліенце настройку «запомніць пароль» або «заўсёды пытаць», перш чым зноў чапаць звязку ключоў. Некаторыя канфігурацыі, асабліва IKEv2 з аўтэнтыфікацыяй на карыстальніка, пытаюць па задуме пры кожным злучэнні; рамонт звязкі ключоў не дапаможа.
Запішыце, які элемент вы змянілі, якое сховішча ім валодала і да якога ўліковага запісу ён належаў, каб наступны запыт месцаваўся за секунды. Старонка Apple «Запыты доступу да звязкі ключоў» — гэта даведнік пра тое, што дазваляюць тыя тры кнопкі.