El Mac no para de demanar la contrasenya de la VPN: clauer o compte?
El Mac pot voler la contrasenya del clauer d'inici de sessió, una contrasenya d'administrador o el mateix compte de la VPN. Llegiu qui és l'amo del diàleg i repareu el magatzem correcte.
Desbloquegeu el Mac, obriu el client VPN i apareix un full de contrasenya abans que el túnel s'hagi iniciat. Escriviu la contrasenya de la passarel·la i o bé la rebutgen o bé el full torna al cap d'un moment. Després torna a preguntar després de despertar de la suspensió, de tancar la sessió o d'una actualització del client. Aquest full poques vegades és el servidor VPN demanant credencials; normalment macOS demana permís per llegir, desbloquejar o canviar un registre local, i la contrasenya pertany a l'amo d'aquest registre, no al vostre compte de la VPN.
Feu coincidir el full amb la identitat que hi ha al darrere
Quatre avisos semblen gairebé idèntics i només un afecta la passarel·la. La redacció, el procés que demana accés i l'element que s'esmenta a sota us diuen quin teniu davant.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Un diàleg sobre accés local no demostra res sobre el servidor. Un rebuig de la passarel·la apareix dins del client amb el text d'error del proveïdor, no com un full del sistema que ofereix desbloquejar un clauer. El contrari és igual de freqüent: escriure la contrasenya de la passarel·la en un full del clauer deixa el registre bloquejat i afegeix un intent fallit.
El diàleg anomena un amo, un magatzem i una acció
Els avisos del clauer tracten d'obtenir informació, no d'autenticar-se davant de res remot. La descripció d'Apple del diàleg de sol·licitud és estreta: Permet un cop, Permet sempre i Rebutja controlen si aquesta app pot llegir l'element desat. Cap de les tres concedeix un privilegi a la passarel·la ni canvia què pensa el servidor de la vostra contrasenya.
Quan el sol·licitant és un client que s'acaba d'actualitzar, és d'esperar que calgui tornar a aprovar: la compilació nova ja no coincideix amb la llista de control d'accés de l'element, així que macOS torna a preguntar. Responeu Permet un cop mentre diagnostiqueu. Permet sempre és una concessió permanent a aquesta app i la resposta equivocada per a un procés auxiliar que no esperàveu; rebutgeu i comproveu el proveïdor si el binari no és el client que heu instal·lat.
Un avís que demana autorització d'administrador és una tercera bèstia. Anomena un paràmetre del sistema o un magatzem protegit que es canvia, i la credencial que vol és un compte d'administrador en aquest Mac. No tots els elements personals del clauer ho necessiten; els que hi ha darrere de la configuració de xarxa normalment sí, perquè la configuració pertany al sistema, no a la vostra sessió d'inici.
On pot viure una contrasenya de VPN en un Mac
El clauer és un magatzem possible, no la definició d'un magatzem. Una configuració de VPN integrada creada a Configuració del Sistema guarda les seves credencials amb la configuració de xarxa, com un paràmetre del sistema gestionat. Un client de tercers normalment guarda un element al vostre clauer d'inici de sessió: una contrasenya genèrica amb clau de nom de servei o una contrasenya d'internet amb clau de servidor, protocol i compte. Moltes apps més noves fan servir en comptes d'això el clauer de protecció de dades, els elements del qual no apareixen mai a Accés a Clauer.
La gent busca el nom de la VPN a Accés a Clauer, no troba res i conclou que la contrasenya no s'ha desat. La nota TN3137 d'Apple diu que hi ha més d'una implementació de clauer; l'absència d'aquella llista és normal, no la prova d'un element espatllat.
Els tipus de registre tampoc no són intercanviables. Una contrasenya de compte, una frase de pas d'una clau privada, un certificat de client i un secret compartit d'IPsec fallen de maneres diferents i es reparen en llocs diferents; tornar a escriure una contrasenya desada no fa res per un certificat rebutjat. Si el Mac està inscrit en gestió, el perfil és un altre amo: una càrrega de VPN pot portar credencials i tornar-les a aplicar en refrescar-se, així que esborrar un element local és temporal fins que un administrador ho canviï.
Quan la contrasenya d'inici i la del clauer se separen
El clauer d'inici normalment fa servir la vostra contrasenya d'inici del Mac, i per això les dues es poden separar. Que un administrador restableixi la vostra contrasenya des d'un altre compte, un flux de recuperació o un canvi de directori poden deixar el clauer bloquejat amb el valor antic, i llavors macOS demana una contrasenya que no acabeu de definir.
En iniciar sessió podeu veure un avís que el sistema no ha pogut desbloquejar el clauer. Actualitzar-lo necessita la contrasenya antiga, cosa que va bé si la recordeu i és inútil si no. Les dues reparacions honestes són Accés a Clauer, Editar, Canvia la contrasenya del clauer "login", o un clauer d'inici nou amb les credencials necessàries tornades a introduir. La segona opció destrueix els elements desats.
No restabliu tot el clauer perquè una VPN rebutja una credencial antiga: això elimina comptes no relacionats i encara no identifica l'element.
Una ordre resol la qüestió local contra remot. Demaneu l'element directament al clauer:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gFeu servir el servidor i el compte de la configuració del client. Si el mateix full d'aprovació apareix quan vosaltres mateixos demaneu l'element al clauer, l'avís és local i el servidor és un espectador. Si no existeix cap element així, el client no desa la contrasenya on suposàveu. L'opció -g imprimeix el secret al terminal, així que eviteu compartir la pantalla.
Actualitzeu el registre que el client llegeix de debò
Si el compte ha canviat a la passarel·la, canvieu-lo primer allà i després actualitzeu el registre desat mitjançant la configuració del client. Editar a mà un element del clauer no és fiable: el client pot llegir una altra parella de servei i compte, i un perfil gestionat sobreescriurà la vostra edició.
Per a un element sospitós d'estar obsolet, feu coincidir servei, compte i protocol abans d'esborrar res:
security delete-generic-password -s "Client Name" -a [email protected]Esborrar un element de nom semblant d'una altra connexió és una interrupció freqüent que us feu a vosaltres mateixos. L'eliminació només és local: no revoca una sessió a la passarel·la, no deslliga un certificat de dispositiu ni canvia la contrasenya del compte.
Confirmeu que la reparació sobreviu a un reinici
Connecteu-vos, desperteu de la suspensió, tanqueu i torneu a obrir la sessió i reinicieu un cop. Una seqüència neta sense full i un estat del client que anomeni el compte esperat és l'única prova que compta. On torna l'avís us diu quina capa heu saltat: després d'una actualització és l'aprovació, després d'un canvi de xarxa l'avís propi del client, després d'un reinici un perfil que torna a aplicar l'estat.
Reviseu el client per si té un paràmetre de recorda la contrasenya o pregunta sempre abans de tocar el clauer una altra vegada. Algunes configuracions, especialment IKEv2 amb autenticació per usuari, pregunten per disseny a cada connexió; la reparació del clauer no hi ajudarà.
Anoteu quin element heu canviat, quin magatzem en era l'amo i a quin compte pertanyia, perquè el proper avís es col·loqui en segons. La pàgina d'Apple Sol·licituds d'accés al clauer és la referència sobre què autoritzen aquells tres botons.