Pam mae eich VPN Mac yn gofyn am fynediad i Keychain bob tro
Mapwch pa gydran sy'n codi pob anogwr ar VPN Mac, ataliwch ymdrechion cysylltu dyblyg, a thrwsiwch fynediad Keychain heb ailosod y gadwyn allweddi gyfan.
Dylai un clic ar Connect gynhyrchu un ffenestr fewngofnodi. Ar Mac mae'n aml yn cynhyrchu tair, ac anaml y maent yn rhannu un perchennog: y gadwyn allweddi sy'n berchen ar anogwyr credlynnau lleol, y giât VPN sy'n berchen ar uwthentigeiddio, a'r cleient sy'n berchen ar ei hysbysiadau ei hun. Yn lle chwilio am switsh sy'n tewi popeth, triniwch bob ffenestr fel diffyg ar wahân gyda'i atgyweiriad ei hun. Mae'r canllaw isod yn mynd trwy un ymdrech gysylltu fwriadol ac yn gorffen ag archwiliad y gallwch ei ailadrodd.
Enwch berchennog pob deialog cyn newid gosodiad
Y cam cyntaf yw cyfrifo, nid ffurfweddu. Gwnewch un ymdrech gysylltu ac, ar gyfer pob ffenestr sy'n ymddangos, nodwch bedwar maes: enw'r ap yn y deialog, yr union destun heb unrhyw beth cyfrinachol, y cam y daeth i'r golwg ynddo, a beth ddigwyddodd pan wnaethoch ei ganslo. Mae tair rhes fel hyn yn cwmpasu bron pob adroddiad yr wyf wedi edrych arno.
Perchenogaeth sy'n penderfynu'r atgyweiriad cywir, a'r atgyweiriad anghywir fel arfer sy'n troi un anogwr yn dair:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Mae anogwr sy'n dychwelyd o fewn yr un ymdrech yn arwydd gwahanol i un sy'n dychwelyd ar yr ymdrech nesaf. Mae'r cyntaf fel arfer yn golygu bod y cysylltiad wedi ailgychwyn o danoch; mae'r ail fel arfer yn golygu bod credlynnau storio'n cael eu gofyn amdanynt eto. Nodwch pa un sydd gennych cyn cyffwrdd â'r gadwyn allweddi, oherwydd nid oes fawr ddim yn gyffredin rhwng y ddau.
Darganfyddwch faint o bethau sy'n cychwyn y tiwnel
Gall pedwar mecanwaith gychwyn yr un VPN ar Mac: gweithred bar dewislen, eitem fewngofnodi, rheol On Demand, a sgript neu asiant. Pan fydd dau ohonynt yn tanio, gall yr ail gychwyn gyrraedd tra bo'r cyntaf yn dal i aros am uwthentigeiddio, sy'n cynhyrchu ffenestr ddyblyg a dim cynnydd. Rhestrwch beth sydd wedi'i ffurfweddu yn gyntaf: scutil --nc list yn argraffu'r gwasanaethau VPN y mae Gosodiadau System yn eu hadnabod, gyda'u statws presennol. Mae cleientiaid sy'n cludo eu hestyniad rhwydwaith eu hunain yn cadw proffiliau o fewn yr ap ac efallai na fyddant yn ymddangos yno, felly gwiriwch restr gysylltiadau'r cleient ei hun hefyd.
Yna chwiliwch am gychwynwyr cystadleuol. scutil --nc show "Work VPN" yn argraffu geiriadur ffurfweddu gwasanaeth adeiledig, gan gynnwys rheolau On Demand; bydd rheol sy'n ailgysylltu ar unrhyw newid rhyngwyneb yn ailgychwyn y tiwnel — ac yn ailagor yr anogwr uwthentigeiddio — bob tro y bydd Wi-Fi yn crwydro neu sgrin yn deffro'r stac rhwydwaith. Gwiriwch eitemau mewngofnodi o dan Gosodiadau System > Cyffredinol > Eitemau Mewngofnodi, a rhestrwch asiantau fesul defnyddiwr gyda ls ~/Library/LaunchAgents. Gadewch unrhyw beth sy'n eiddo i stac diogelwch a reolir gan MDM yn llonydd; mae ei dynnu fel arfer yn cael ei wthio'n ôl ar y gwiriad nesaf.
I weld beth sy'n rhedeg mewn gwirionedd yn ystod ymgais: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Mae dau gynorthwyydd cleient lle'r ydych yn disgwyl un yn esbonio "pam y cefais ddau anogwr" yn llawer amlach nag unrhyw broblem credlynnau.
Trwsiwch fynediad i Keychain heb ailosod y gadwyn allweddi
Mae'r anogwr yn dod o restr rheoli mynediad yr eitem storio, nid o brotocol VPN. Mae pob eitem yn cofnodi pa apiau sy'n cael ei darllen heb ofyn. Ar ôl diweddariad cleient, gall y cynorthwyydd sy'n gofyn gario enw neu lofnod gwahanol tra bo'r eitem yn dal i restru'r hen un, felly mae macOS yn gofyn eto ar bob cysylltiad. Cymeradwyo'r cynorthwyydd newydd ar gyfer yr un eitem honno yw'r atgyweiriad cyfan; nid yw cymeradwyo pob ap.
Gallwch gadarnhau mai'r ACL yw'r achos heb gyffwrdd â'r VPN: security find-generic-password -s "service-name" -g yn darllen yr un eitem o derfynfa. Os yw'r gorchymyn hwnnw hefyd yn codi'r anogwr, mae'r deialog yn perthyn i'r gadwyn allweddi a'r tiwnel yw'r sbardun yn unig. Mae chanllawiau Apple ar y tri botwm — Caniatáu Unwaith, Caniatáu Bob Amser, Gwrthod — yn werth eu darllen unwaith, oherwydd Gwrthod sy'n gwneud i'r anogwr ddychwelyd ar unwaith yn lle ar yr ymdrech nesaf.
Os cymeradwyoch y cynorthwyydd anghywir, agorwch yr eitem yn Keychain Access, trowch i Access Control, a dilewch y cofnod hwnnw; dyna'r dadwneud. Mae dileu'r gadwyn allweddi fewngofnodi, neu redeg offeryn atgyweirio sy'n ei hailadeiladu, hefyd yn taflu cyfrineiriau diberthyn ac mae'n newid llawer mwy na'r broblem.
Cadwch gamau mewngofnodi a pholisi yn y ffrydiau sy'n berchen arnynt
Mae mewngofnodi trwy borwr neu her MFA yn perthyn i'r giât. Os yw eich sefydliad yn cynnig parhad sesiwn neu uwthentigeiddio seiliedig ar dystysgrif, defnyddiwch ef, oherwydd dyna'r ffordd gefnogol o uwthentigeiddio'n llai aml. Mae teipio cod sefydlog i gleient, neu storio cyfrinair mewn sgript fel nad yw'r anogwr byth yn ymddangos, yn disodli ffactor rhyngweithiol â chyfrinach statig ac yn methu y tro nesaf y bydd polisi'n cylchdroi.
Hysbysiadau sefydliad yw'r un categori na ddylech ei atal. Maent fel arfer yn gorfodi gwiriad postur neu gydnabyddiaeth defnydd derbyniol, a gall eu cuddio roi'r ddyfais allan o gydymffurfiaeth hyd yn oed tra bo'r tiwnel yn gweithio. Deialogau gwall yw'r categori arall: cadwch destun y gwall cyntaf, oherwydd yn aml dim ond yr un methiant a adroddwyd ar ôl ailgynnig yw'r ail ddeialog.
Gwiriwch ag un ymgais, yna ar ôl ailgychwyn
Gyda chychwynwyr dyblyg wedi'u tynnu a'r cofnod yn y gadwyn allweddi wedi'i drwsio, gwnewch un ymgais: cauwch bob enghraifft cleient gan gynnwys cynorthwyydd y bar dewislen, cysylltwch unwaith, a chyfrifwch y ffenestri. Rydych am gael cymeradwyaeth y gadwyn allweddi, os ailadeiladwyd yr eitem, ac un cam uwthentigeiddio. Dim mwy. scutil --nc status "Work VPN" a ddylai adrodd Connected ar gyfer gwasanaeth adeiledig.
Yna ailgychwynwch unwaith ac ailadroddwch. Mae anogwr sy'n dychwelyd dim ond ar ôl ailgychwyn yn cyfeirio at eitem fewngofnodi neu reol On Demand, nid at credlynnau; mae un sy'n dychwelyd o fewn y sesiwn yn cyfeirio at yr ACL neu at ail gychwynnydd. Os yw'n dal i ailadrodd ar ôl y ddau gynnig, y peth defnyddiol i'w roi i'ch gweinyddwr yw'r tabl tair rhes o'r ymgais gyntaf — perchennog, union destun, cam — nid sgrinlun o'r deialog.
Llai o anogwyr yw'r nod, nid rhai distaw. Mae cysylltiad sy'n cuddio ei gamau awdurdodi yn gysylltiad na allwch ei archwilio mwyach, a bydd y cylchdro tystysgrif nesaf yn eich canfod heb syniad pa gydran sy'n methu.