Kerberos SSO a VPN ar Mac: cymharu'r ddwy lwybr mewngofnodi

Mae dau fecanwaith yn rhoi'r un canlyniad cyfeillgar ar Mac ac yn ymddwyn yn hollol wahanol o dan yr wyneb. Mae un yn cael tocynnau Kerberos trwy estyniad SSO ac yn eu rhoi i gymwysiadau sy'n cymryd rhan. Mae'r llall yn cadw sesiwn porwr gyda darparwr hunaniaeth ac yn gadael i gymwysiadau gwe ei derbyn. Maent yn wahanol yn yr hyn sydd ei angen arnynt ar y rhwydwaith, pa mor hir y mae eu tystlythyrau'n para, a beth sy'n digwydd ar yr union eiliad y mae'r twnnel yn cwympo.

Dau fecanwaith, un sgrin fewngofnodi

Mae'r llwybr sy'n seiliedig ar docynnau yn dibynnu ar barth Kerberos, canolfan dosbarthu allweddi, a chloc sy'n cytuno ag ef. Mae llwybr y porwr yn dibynnu ar ddarparwr hunaniaeth y gellir ei gyrraedd, cwci neu docyn, a chymhwysiad sy'n ymddiried yn y cyhoeddwr hwnnw. Gellir ffurfweddu'r ddau i ddechrau wrth fewngofnodi, a dyna pam y cânt eu camgymryd am yr un nodwedd. Cymwysiadau sy'n penderfynu pa un o'r ddau y maent yn ei dderbyn, a gall Mac redeg y ddau ar unwaith yn gwbl ddilys.

Cymharwch nhw drwy ofyn beth mae'r cymhwysiad yn ei wirio pan fydd defnyddiwr yn ei agor. Mae gwasanaeth ffeil sydd wedi'i ymuno â pharth Kerberos eisiau tocyn gwasanaeth, ac ni fydd unrhyw faint o sesiwn porwr yn ei fodloni. Mae cymhwysiad gwe y tu ôl i ddarparwr hunaniaeth modern eisiau tocyn y darparwr hwnnw ac yn anwybyddu tocyn Kerberos yn llwyr. Unwaith y byddwch yn gwybod pa wiriad sy'n digwydd, mae'r cwestiynau defnyddio'n dod yn benodol yn lle'n gyffredinol.

Beth sydd ei angen ar yr estyniad Kerberos ar y rhwydwaith

Mae canllaw estyniad Kerberos SSO Apple yn disgrifio dilysu Active Directory brodorol gyda chaffael tocynnau rhagweithiol, wedi'i baru â chyfrifon lleol yn hytrach na rhwymo parth. Yr hyn na all ei wneud yw dyfeisio llwybr at y rheolyddion parth. Mae ar y Mac angen datryswr sy'n ateb cofnodion gwasanaeth Kerberos, a llwybr sy'n cyrraedd y rheini trwy'r twnnel cymeradwy. Nid yw proffil sy'n gosod yn lân yn profi dim nes bod modd darganfod y parth mewn gwirionedd o'r cleient.

Gwiriwch y darganfyddiad cyn gwirio tystlythyrau: rhaid i gofnodion SRV y parth Kerberos ddatrys, a rhaid i'r cyfeiriadau maent yn eu dychwelyd fod yn gyrraeddadwy unwaith y bydd y VPN i fyny. Mae amser yr un mor bwysig â chyrhaeddadwyedd, oherwydd mae Kerberos yn gwrthod ceisiadau o gloc sydd wedi crwydro y tu hwnt i'w oddefgarwch, ac mae'r gwall y mae'n ei gynhyrchu'n edrych fel methiant dilysu. Bydd Mac na all gyrraedd ffynhonnell amser tra bydd y twnnel i lawr yn methu eto ar yr union funud y bydd yn dychwelyd. Trwsiwch y ffynhonnell amser fel rhan o'r defnyddio yn hytrach nag fel ymateb i ddigwyddiad.

klist
sudo sntp -sS time.apple.com

VPN fesul ap sy'n penderfynu a all yr estyniad weithio

Mae twnnel llawn yn llwybro popeth ac yn cuddio'r broblem hon. Mae ffurfweddiad fesul ap yn llwybro dim ond y cymwysiadau a enwir yn y proffil VPN, ac mae'r estyniad SSO ei hun yn broses sydd angen y rhwydwaith i nôl tocynnau. Os nad yw yn y mapio, mae mewngofnodi lleol yn llwyddo, mae'r twnnel yn codi ar gyfer y porwr, ac mae caffael tocynnau'n dal i fethu.

Darllenwch ffurfweddiad y VPN a rhestrwch bob cymhwysiad y mae i fod i'w gynnwys, yna ychwanegwch y gydran SSO trwy'r mecanwaith mapio dogfennedig yn hytrach na dyfalu dynodydd bwndel. Mapio'r cleient gweladwy ac nid y gydran y tu ôl iddo yw fersiwn glasurol y camgymeriad hwn. Cadwch y mapio yn yr un proffil a reolir â'r estyniad, fel na all newid i'r naill annilysu'r llall yn dawel. Profwch gyda defnyddiwr nad yw erioed wedi mewngofnodi ar y Mac hwnnw, oherwydd gall tocyn wedi'i storio wneud llwybr toredig i edrych yn iach, yna profwch eto ar ôl newid cyfrinair.

Mae sesiwn hunaniaeth porwr yn gontract gwahanol

Nid oes gan sesiwn porwr barth Kerberos, na thocyn gwasanaeth, na goddefgarwch cloc yn ystyr Kerberos. Mae ganddi gyhoeddwr, oes tocyn a llwybr adnewyddu, a'i dulliau methu yw ailgyfeiriadau nad ydynt byth yn cwblhau a chwcis y mae ffenestr breifat yn eu taflu. Mae trin hyn fel disodliad ar gyfer llwybr y tocynnau yn ddiogel dim ond lle mae'r cymhwysiad ei hun yn derbyn y cyhoeddwr hwnnw. Nid integreiddio yw copïo ymateb dilysu o borth y VPN i wasanaeth di-gysylltiad, pa mor gyfleus bynnag y mae'r llwybr byr yn edrych.

Pan fydd y ddau fecanwaith wedi'u defnyddio, dogfennwch pa gymwysiadau sy'n defnyddio pa un, oherwydd mae'r sgwrs cymorth yn dibynnu ar hynny. Mae defnyddiwr sy'n dweud eu bod wedi mewngofnodi ond na all agor rhannu ffeil yn disgrifio dau system, a'r ateb yw na redodd llwybr y tocynnau erioed. Mae defnyddiwr sy'n gallu agor y rhannu ond nid y porth fewnrwyd yn disgrifio'r gwrthwyneb, ac mae enwi'r mecanwaith yn y tocyn yn arbed rownd o gwestiynau.

Cerddwch y dilyniant, nid y rhannau

Cerddwch y gadwyn gyfan gyda chyfrif cofrestredig cyffredin: mewngofnodi lleol, twnnel, caffael tocynnau, yna un gweithrediad go iawn yn erbyn gwasanaeth. Ailadroddwch ar ôl i'r twnnel ailgysylltu ac ar ôl newid cyfrinair bwriadol, oherwydd mae pob un o'r achosion hynny'n arfer rhan wahanol o'r rhesymeg oes. Nid yw pob cam yn pasio ar ei ben ei hun yr un peth â'r gadwyn yn gweithio. Y gadwyn yw'r hyn y mae'r defnyddiwr yn ei brofi, a dyna y mae'r achos derbyn yn gorfod ei gynnwys.

Cofnodwch berchnogion y proffil, dull dilysu'r VPN, llwybr darganfod y parth a mapio cymwysiadau'r estyniad mewn un man. Y cofnod hwnnw sy'n gwneud y llif yn atgynhyrchadwy gan rywun na wnaeth ei adeiladu. Yna gwiriwch y methiant rydych fwyaf tebygol o'i gyfarfod, tocyn sydd wedi dod i ben tra bydd y twnnel i lawr, a chadarnhewch fod y cleient yn gwella heb ailgychwyn, oherwydd nid yw defnyddio sy'n gweithio dim ond o gychwyn oer wedi gorffen.

Nodwch berchnogion pob cam hefyd, oherwydd bydd parth Kerberos nad oes neb yn ei gynnal yn mynd yn hen. Mae cadwyn na all neb ei disgrifio yn gadwyn na all neb ei dadfygio.