Mac pořád žádá heslo k VPN: klíčenka, nebo účet?

Odemknete Mac, otevřete klienta VPN a objeví se okno s heslem, dřív než se tunel vůbec spustil. Zadáte heslo brány a buď ho odmítnou, nebo se okno za chvíli vrátí. Pak se ptá znovu po probuzení ze spánku, odhlášení nebo aktualizaci klienta. To okno je málokdy server VPN, který žádá přihlašovací údaje; obvykle macOS žádá svolení číst, odemknout nebo změnit místní záznam a heslo patří vlastníkovi tohoto záznamu, ne vašemu účtu VPN.

Přiřaďte okno k identitě, která za ním stojí

Čtyři výzvy vypadají téměř stejně a jen jedna se týká brány. Formulace, proces, který žádá přístup, a položka uvedená pod ní vám řeknou, se kterou máte co do činění.

Dialog o místním přístupu nic o serveru nedokazuje. Odmítnutí brány se objeví uvnitř klienta s chybovým textem dodavatele, ne jako systémové okno nabízející odemknutí klíčenky. Opak je stejně častý: zadání hesla brány do okna klíčenky nechá záznam zamčený a přidá neúspěšný pokus.

Dialog pojmenuje vlastníka, úložiště a akci

Výzvy klíčenky se týkají získání údaje, ne ověřování vůči něčemu vzdálenému. Apple popisuje dialog žádosti úzce: Povolit jednou, Vždy povolit a Odmítnout řídí, zda aplikace smí uloženou položku přečíst. Žádná ze tří nedává oprávnění na bráně ani nemění, co si server myslí o vašem heslu.

Když je žadatelem klient, který se právě aktualizoval, nové schválení je očekávané: nové sestavení už neodpovídá seznamu řízení přístupu u položky, takže macOS žádá znovu. Během diagnostiky odpovídejte Povolit jednou. Vždy povolit je trvalé svolení této aplikaci a špatná odpověď pro pomocný proces, který jste nečekali; odmítněte a ověřte dodavatele, pokud binárka není klient, kterého jste nainstalovali.

Výzva žádající oprávnění správce je třetí druh. Pojmenovává systémové nastavení nebo chráněné úložiště, které se mění, a údaj, který chce, je účet správce na tomto Macu. Ne každá osobní položka klíčenky to potřebuje; ty za síťovou konfigurací obvykle ano, protože konfigurace patří systému, ne vaší přihlašovací relaci.

Kde může heslo k VPN na Macu žít

Klíčenka je jedno možné úložiště, ne definice úložiště. Vestavěná konfigurace VPN vytvořená v Nastavení systému drží své údaje u síťové konfigurace jako spravované systémové nastavení. Klient třetí strany obvykle drží položku ve vaší přihlašovací klíčence: obecné heslo s klíčem podle názvu služby nebo internetové heslo s klíčem podle serveru, protokolu a účtu. Mnoho novějších aplikací místo toho používá klíčenku ochrany dat, jejíž položky se v Přístupu ke klíčence nikdy neobjeví.

Lidé hledají v Přístupu ke klíčence název VPN, nic nenajdou a usoudí, že heslo není uložené. Poznámka Apple TN3137 říká, že existuje víc než jedna implementace klíčenky; nepřítomnost v tom seznamu je normální, ne důkaz rozbité položky.

Typy záznamů také nejsou zaměnitelné. Heslo účtu, přístupová fráze soukromého klíče, klientský certifikát a sdílené tajemství IPsec selhávají různě a opravují se na různých místech; znovu napsat uložené heslo nic neudělá pro odmítnutý certifikát. Pokud je Mac zařazen do správy, profil je další vlastník: datová zátěž VPN může nést údaje a při obnovení je znovu použít, takže smazání místní položky je dočasné, dokud to správce nezmění.

Když se přihlašovací heslo a heslo klíčenky rozejdou

Přihlašovací klíčenka obvykle používá vaše přihlašovací heslo k Macu, a proto se obě mohou rozejít. Správce, který resetuje vaše heslo z jiného účtu, proces obnovy nebo změna v adresáři mohou klíčenku nechat zamčenou na staré hodnotě a macOS pak žádá heslo, které jste právě nenastavili.

Při přihlášení můžete vidět upozornění, že systém nemohl klíčenku odemknout. Aktualizace vyžaduje staré heslo, což je dobré, pokud si ho pamatujete, a k ničemu, pokud ne. Dvě poctivé opravy jsou Přístup ke klíčence, Upravit, Změnit heslo klíčenky "login", nebo nová přihlašovací klíčenka s znovu zadanými potřebnými údaji. Druhá možnost zničí uložené položky.

Neresetujte celou klíčenku, protože jedna VPN odmítá starý údaj: to odstraní nesouvisející účty a položku stejně neidentifikuje.

Jeden příkaz rozhodne otázku místní versus vzdálené. Zeptejte se klíčenky přímo na položku:

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Použijte server a účet z nastavení klienta. Pokud se stejné okno schválení objeví, když se klíčenky zeptáte sami, je výzva místní a server je jen divák. Pokud žádná taková položka neexistuje, klient heslo neukládá tam, kde jste předpokládali. Přepínač -g vypíše tajemství do terminálu, proto se vyhněte sdílení obrazovky.

Aktualizujte záznam, který klient skutečně čte

Pokud se účet na bráně změnil, změňte ho nejdřív tam a potom aktualizujte uložený záznam přes nastavení klienta. Ruční úprava položky klíčenky je nespolehlivá: klient může číst jinou dvojici služby a účtu a spravovaný profil vaši úpravu přepíše.

U položky podezřelé ze zastarání slučte službu, účet a protokol, než cokoli smažete:

security delete-generic-password -s "Client Name" -a [email protected]

Smazání podobně pojmenované položky z jiného připojení je častý výpadek, který si způsobíte sami. Odstranění je jen místní: nezruší relaci na bráně, neodváže certifikát zařízení ani nezmění heslo účtu.

Ověřte, že oprava přežije restart

Připojte se, probuďte ze spánku, odhlaste se a znovu přihlaste, pak jednou restartujte. Čistý sled bez okna a stav klienta uvádějící očekávaný účet je jediný důkaz, který se počítá. Místo, kde se výzva vrací, vám řekne, kterou vrstvu jste vynechali: po aktualizaci je to schválení, po změně sítě vlastní výzva klienta, po restartu profil znovu uplatňující stav.

Než na klíčenku znovu sáhnete, zkontrolujte v klientu nastavení zapamatovat heslo nebo vždy se ptát. Některé konfigurace, zejména IKEv2 s ověřováním pro každého uživatele, se ptají záměrně při každém připojení; oprava klíčenky nepomůže.

Zapište, kterou položku jste změnili, které úložiště ji vlastnilo a ke kterému účtu patřila, aby příští výzva zabrala pár sekund. Stránka Apple Žádosti o přístup ke klíčence je referencí pro to, co ty tři tlačítka povolují.