Proč se váš Mac VPN pokaždé ptá na přístup k Keychain
Zjistěte, která komponenta vyvolává každé okno na Mac VPN, zastavte duplicitní pokusy o připojení a opravte přístup k Keychain bez resetování celé klíčenky.
Jedno kliknutí na Connect by mělo vytvořit jedno přihlašovací okno. Na Macu jich často vytvoří tři a jen zřídka mají stejného vlastníka: místní výzvy k zadání pověření vlastní Keychain, VPN brána vlastní autentizaci a klient vlastní svá vlastní oznámení. Místo hledání přepínače, který vše umlčí, berte každé okno jako samostatnou závadu s vlastní opravou. Následující postup projde jeden záměrný pokus o připojení a skončí kontrolou, kterou můžete zopakovat.
Pojmenujte vlastníka každého dialogu, než změníte nastavení
První krok je evidence, ne konfigurace. Proveďte jeden pokus o připojení a u každého okna, které se objeví, zapište čtyři pole: název aplikace v dialogu, přesný text bez čehokoli tajného, fázi, ve které se objevilo, a co se stalo, když jste ho zrušili. Tři takové řádky pokrývají téměř každý report, který jsem viděl.
Vlastnictví určuje správnou opravu a špatná oprava obvykle mění jednu výzvu ve tři:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Výzva, která se vrátí v rámci stejného pokusu, je jiný signál než ta, která se vrátí při dalším pokusu. První obvykle znamená, že se spojení restartovalo pod vámi; druhá obvykle znamená, že se znovu žádá o uložené pověření. Poznamenejte si, kterou máte, než se dotknete klíčenky, protože ty dvě nemají téměř nic společného.
Zjistěte, kolik věcí spouští tunel
Stejný VPN na Macu mohou spustit čtyři mechanismy: akce v řádku nabídky, přihlašovací položka, pravidlo On Demand a skript nebo agent. Když se aktivují dva, druhé spuštění může dorazit, zatímco první stále čeká na autentizaci, což vytvoří duplicitní okno a žádný postup. Nejprve vypište, co je nakonfigurováno: scutil --nc list vypíše VPN služby, které systémová nastavení znají, s jejich aktuálním stavem. Klienti, kteří dodávají vlastní síťové rozšíření, drží profily uvnitř aplikace a nemusí se tam objevit, takže zkontrolujte i vlastní seznam připojení klienta.
Pak hledejte konkurenční spouštěče. scutil --nc show "Work VPN" vypíše konfigurační slovník vestavěné služby včetně pravidel On Demand; pravidlo, které se znovu připojí při každé změně rozhraní, restartuje tunel — a znovu otevře výzvu k autentizaci — pokaždé, když se Wi-Fi přesune nebo displej probudí síťový zásobník. Zkontrolujte přihlašovací položky v Systémová nastavení > Obecné > Přihlašovací položky a vypište agenty pro uživatele pomocí ls ~/Library/LaunchAgents. Nedotýkejte se ničeho, co patří bezpečnostnímu zásobníku spravovanému MDM; jeho odstranění se obvykle při další kontrole vrátí.
Chcete-li vidět, co během pokusu skutečně běží: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dva klientské pomocníky tam, kde čekáte jednoho, vysvětlují „proč jsem dostal dvě výzvy“ mnohem častěji než jakýkoli problém s pověřeními.
Opravte přístup ke klíčence bez resetování klíčenky
Výzva pochází ze seznamu řízení přístupu uložené položky, ne z VPN protokolu. Každá položka zaznamenává, které aplikace ji smějí číst bez dotazu. Po aktualizaci klienta může pomocník, který se ptá, mít jiné jméno nebo podpis, zatímco položka stále uvádí starý, takže macOS se ptá znovu při každém připojení. Schválení nového pomocníka pro tuto jednu položku je celá oprava; schválení každé aplikace není.
Že je příčinou ACL, můžete potvrdit bez dotyku VPN: security find-generic-password -s "service-name" -g čte stejnou položku z terminálu. Pokud i tento příkaz vyvolá výzvu, dialog patří klíčence a tunel je jen spouštěč. Apple pokyny ke třem tlačítkům — Povolit jednou, Povolit vždy, Odmítnout — stojí za jedno přečtení, protože právě Odmítnout způsobí, že se výzva vrátí okamžitě, a ne při dalším pokusu.
Pokud jste schválili špatného pomocníka, otevřete položku v Přístupu ke klíčence, přepněte na Řízení přístupu a tento záznam odeberte; to je návrat. Smazání přihlašovací klíčenky nebo spuštění opravného nástroje, který ji znovu sestaví, také zahodí nesouvisející hesla a je mnohem větší změnou než problém.
Udržujte přihlašovací a zásahové kroky v tocích, kterým patří
Přihlášení v prohlížeči nebo výzva MFA patří bráně. Pokud vaše organizace nabízí trvalost relace nebo autentizaci na základě certifikátů, použijte ji, protože to je podporovaný způsob, jak se autentizovat méně často. Zadávání pevného kódu do klienta nebo ukládání hesla do skriptu, aby se výzva nikdy neobjevila, nahrazuje interaktivní faktor statickým tajemstvím a selže při příští obměně zásad.
Oznámení organizace jsou jedinou kategorií, kterou byste neměli potlačovat. Obvykle vynucují kontrolu stavu nebo potvrzení přijatelného použití a jejich skrytí může vyřadit zařízení ze souladu, i když tunel funguje. Dialogy chyb jsou druhá kategorie: uchovejte text první chyby, protože druhý dialog je často jen stejné selhání hlášené po opakování.
Ověřte jedním pokusem, poté po restartu
Když jsou duplicitní spouštěče odstraněny a záznam v klíčence opraven, proveďte jediný pokus: ukončete každou instanci klienta včetně pomocníka v řádku nabídky, připojte se jednou a spočítejte okna. Chcete schválení klíčenky, pokud byla položka znovu sestavena, a jeden krok autentizace. Nic víc. scutil --nc status "Work VPN" by měl hlásit Connected pro vestavěnou službu.
Poté jednou restartujte a opakujte. Výzva, která se vrací jen po restartu, ukazuje na přihlašovací položku nebo pravidlo On Demand, ne na pověření; ta, která se vrací v rámci relace, ukazuje na ACL nebo na druhý spouštěč. Pokud se stále opakuje po obou průchodech, užitečná věc, kterou máte dát správci, je tabulka se třemi řádky z prvního pokusu — vlastník, přesný text, fáze — ne snímek obrazovky dialogu.
Cílem je méně výzev, ne tiché. Spojení, které skrývá své autorizační kroky, je spojení, které už nemůžete auditovat, a příští obměna certifikátů vás zastihne bez tušení, která komponenta selhává.