Чаму ваш VPN на Mac кожны раз запытвае доступ да Keychain
Вызначце, які кампанент выклікае кожнае акно запыту ў VPN на Mac, спыніце паўторныя спробы злучэння і аднавіце доступ да Keychain, не скідваючы ўвесь ключнік.
Адно націсканне Connect павінна даць адно акно ўваходу. На Mac яно часта дае тры, і яны рэдка маюць аднаго ўладальніка: мясцовыя запыты дадзеных уваходу належаць ключніку, VPN-шлюз адказвае за аўтэнтыфікацыю, а кліент — за свае ўласныя паведамленні. Замест пошуку перамыкача, які заглушае ўсё, разглядайце кожнае акно як асобны дэфект са сваім выпраўленнем. Інструкцыя ніжэй праходзіць адну мэтанакіраваную спробу злучэння і завяршаецца праверкай, якую можна паўтарыць.
Назвіце ўладальніка кожнага дыялога, перш чым змяняць наладу
Першы крок — гэта ўлік, а не налада. Зрабіце адну спробу злучэння і для кожнага акна, якое з'явіцца, запішыце чатыры палі: назву праграмы ў дыялогу, дакладны тэкст без чаго-небудзь сакрэтнага, фазу, у якой яно з'явілася, і што адбылося, калі вы яго скасавалі. Тры такія радкі ахопліваюць амаль кожную справаздачу, якую я бачыў.
Уладальнік вызначае правільнае выпраўленне, і няправільнае выпраўленне звычайна і ператварае адзін запыт у тры:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Запыт, які вяртаецца ў межах той жа спробы, — гэта іншы сігнал, чым той, што вяртаецца ў наступнай спробе. Першы звычайна азначае, што злучэнне перазапусцілася пад вамі; другі звычайна азначае, што зноў запытваюцца захаваныя дадзеныя ўваходу. Адзначце, які з іх у вас, перш чым кранаць ключнік, бо гэтыя два амаль нічога не маюць агульнага.
Высветліце, колькі рэчаў запускае тунель
Чатыры механізмы могуць запускаць адзін і той жа VPN на Mac: дзеянне ў радку меню, элемент уваходу, правіла On Demand і скрыпт або агент. Калі спрацоўваюць два з іх, другі запуск можа прыйсці, пакуль першы яшчэ чакае аўтэнтыфікацыі, што стварае дублікат акна і ніякага прагрэсу. Спачатку пералічыце, што наладжана: scutil --nc list друкуе VPN-сэрвісы, вядомыя сістэмным наладам, з іх бягучым станам. Кліенты, якія пастаўляюць уласнае сеткавае пашырэнне, трымаюць профілі ўнутры праграмы і могуць там не з'яўляцца, таму праверце таксама ўласны спіс злучэнняў кліента.
Затым шукайце канкуруючыя стартары. scutil --nc show "Work VPN" друкуе слоўнік канфігурацыі ўбудаванага сэрвісу, уключаючы правілы On Demand; правіла, якое перападключаецца пры любой змене інтэрфейсу, перазапусціць тунель — і зноў адкрые запыт аўтэнтыфікацыі — кожны раз, калі Wi-Fi перамяшчаецца або экран будзіць сеткавы стек. Праверце элементы ўваходу ў Сістэмныя налады > Агульныя > Элементы ўваходу і пералічыце агенты карыстальніка праз ls ~/Library/LaunchAgents. Не чапайце тое, што належыць стэку бяспекі пад кіраваннем MDM; яго выдаленне звычайна вяртаецца пры наступнай праверцы.
Каб убачыць, што насамрэч працуе падчас спробы: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Два кліенцкія памочнікі там, дзе вы чакаеце аднаго, тлумачаць «чаму я атрымаў два запыты» значна часцей, чым любая праблема з дадзенымі ўваходу.
Аднавіце доступ да ключніка, не скідваючы ключнік
Запыт паходзіць са спісу кантролю доступу захаванага элемента, а не з VPN-пратаколу. Кожны элемент запісвае, якія праграмы могуць чытаць яго без пытанняў. Пасля абнаўлення кліента памочнік, які запытвае, можа мець іншае імя або подпіс, пакуль элемент усё яшчэ пералічвае стары, таму macOS пытае зноў пры кожным злучэнні. Ухваленне новага памочніка для гэтага аднаго элемента — гэта ўсё выпраўленне; ухваленне кожнай праграмы — не.
Вы можаце пацвердзіць, што прычына — ACL, не кранаючы VPN: security find-generic-password -s "service-name" -g чытае той жа элемент з тэрмінала. Калі гэтая каманда таксама выклікае запыт, дыялог належыць ключніку, а тунель — толькі трыгер. Apple кіраўніцтва па трох кнопках — Дазволіць аднойчы, Дазволіць заўсёды, Адхіліць — варта прачытаць аднойчы, бо менавіта Адхіленне прымушае запыт зноў з'явіцца адразу, а не ў наступнай спробе.
Калі вы ўхвалілі не таго памочніка, адкрыйце элемент у Keychain Access, пераключыцеся на Access Control і выдаліце гэты запіс; гэта адкат. Выдаленне ключніка ўваходу або запуск інструмента аднаўлення, які перабудоўвае яго, таксама адкідвае староннія паролі і з'яўляецца значна большай зменай, чым праблема.
Трымайце крокі ўваходу і палітыкі ў тых працэсах, якім яны належаць
Уваход праз браўзер або выклік MFA належыць шлюзу. Калі ваша арганізацыя прапануе захаванне сеансу або аўтэнтыфікацыю на аснове сертыфікатаў, скарыстайцеся ёй, бо гэта падтрыманы спосаб аўтэнтыфікавацца радзей. Увод фіксаванага кода ў кліент або захаванне пароля ў скрыпце, каб запыт ніколі не з'яўляўся, замяняе інтэрактыўны фактар статычным сакрэтам і правальваецца ў наступны раз, калі палітыка зменіцца.
Паведамленні арганізацыі — адзіная катэгорыя, якую не варта заглушаць. Яны звычайна ўводзяць праверку стану або пацверджанне дапушчальнага выкарыстання, і іх хаванне можа вывесці прыладу з адпаведнасці нават тады, калі тунель працуе. Дыялогі памылак — іншая катэгорыя: захоўвайце тэкст першай памылкі, бо другі дыялог часта — гэта тая ж няўдача, паведамленая пасля паўторнай спробы.
Праверце адной спробай, затым пасля перазагрузкі
Пасля выдалення дублюючых стартараў і аднаўлення запісу ключніка выканайце адну спробу: закрыйце кожны асобнік кліента, уключаючы памочнік радка меню, падключыцеся аднойчы і палічыце акны. Вы хочаце ўхваленне ключніка, калі элемент быў перабудаваны, і адзін крок аўтэнтыфікацыі. Нічога больш. scutil --nc status "Work VPN" павінна паведамляць Connected для ўбудаванага сэрвісу.
Затым перазагрузіцеся аднойчы і паўтарыце. Запыт, які вяртаецца толькі пасля перазагрузкі, паказвае на элемент уваходу або правіла On Demand, а не на дадзеныя ўваходу; той, што вяртаецца ўнутры сеансу, паказвае на ACL або на другі стартар. Калі ён усё яшчэ паўтараецца пасля абодвух праходаў, карыснае, што можна перадаць адміністратару, — гэта табліца з трох радкоў з першай спробы: уладальнік, дакладны тэкст, фаза, — а не здымак экрана дыялога.
Мэта — менш запытаў, а не ціхія. Злучэнне, якое хавае свае крокі аўтарызацыі, — гэта злучэнне, якое вы больш не можаце аўдытаваць, і наступная ратацыя сертыфікатаў застане вас без разумення, які кампанент збойвае.