Mac fragt immer wieder nach VPN-Passwort: Schlüsselbund oder Konto?

Sie entsperren den Mac, öffnen den VPN-Client, und ein Passwortdialog erscheint, bevor der Tunnel überhaupt gestartet ist. Sie tippen das Gateway-Passwort ein, und es wird entweder abgelehnt, oder der Dialog kommt einen Moment später zurück. Dann fragt er erneut nach dem Aufwachen aus dem Ruhezustand, nach dem Abmelden oder nach einem Client-Update. Dieser Dialog ist selten der VPN-Server, der Anmeldedaten anfordert; meist fragt macOS nach der Erlaubnis, einen lokalen Eintrag zu lesen, zu entsperren oder zu ändern, und das Passwort gehört dem Eigentümer dieses Eintrags, nicht Ihrem VPN-Konto.

Ordnen Sie den Dialog der Identität dahinter zu

Vier Abfragen sehen fast gleich aus, und nur eine betrifft das Gateway. Der Wortlaut, der Prozess, der Zugriff anfordert, und das darunter genannte Element sagen Ihnen, welche Sie vor sich haben.

Ein Dialog über lokalen Zugriff beweist nichts über den Server. Eine Ablehnung durch das Gateway erscheint im Client mit dem Fehlertext des Herstellers, nicht als Systemdialog, der das Entsperren eines Schlüsselbunds anbietet. Der umgekehrte Fall ist genauso häufig: Wer das Gateway-Passwort in einen Schlüsselbund-Dialog tippt, lässt den Eintrag gesperrt und fügt einen Fehlversuch hinzu.

Der Dialog nennt einen Eigentümer, einen Speicher und eine Aktion

Schlüsselbund-Abfragen drehen sich um das Abrufen, nicht um die Authentifizierung gegenüber etwas Entferntem. Apples Beschreibung des Anforderungsdialogs ist eng: Einmal erlauben, Immer erlauben und Ablehnen steuern, ob diese App den gespeicherten Eintrag lesen darf. Keine der drei erteilt ein Recht am Gateway oder ändert, was der Server über Ihr Passwort denkt.

Ist der Anforderer ein Client, der gerade aktualisiert wurde, ist eine erneute Bestätigung zu erwarten: Der neue Build passt nicht mehr zur Zugriffssteuerungsliste des Eintrags, also fragt macOS erneut. Antworten Sie während der Diagnose mit Einmal erlauben. Immer erlauben ist eine dauerhafte Erlaubnis für diese App und die falsche Antwort für einen Hilfsprozess, den Sie nicht erwartet haben; lehnen Sie ab und prüfen Sie den Hersteller, wenn die Binärdatei nicht der installierte Client ist.

Eine Abfrage nach Administratorberechtigung ist ein dritter Fall. Sie nennt eine Systemeinstellung oder einen geschützten Speicher, der geändert wird, und verlangt die Anmeldedaten eines Administratorkontos auf diesem Mac. Nicht jeder persönliche Schlüsselbund-Eintrag braucht das; die hinter der Netzwerkkonfiguration in der Regel schon, weil die Konfiguration dem System gehört, nicht Ihrer Anmeldesitzung.

Wo ein VPN-Passwort auf einem Mac leben kann

Der Schlüsselbund ist ein möglicher Speicher, nicht die Definition eines Speichers. Eine in den Systemeinstellungen erstellte integrierte VPN-Konfiguration bewahrt ihre Anmeldedaten bei der Netzwerkkonfiguration auf, als verwaltete Systemeinstellung. Ein Drittanbieter-Client hält meist einen Eintrag in Ihrem Anmeldeschlüsselbund: ein generisches Passwort mit Schlüssel über einen Dienstnamen oder ein Internetpasswort mit Schlüssel über Server, Protokoll und Konto. Viele neuere Apps nutzen stattdessen den Datenschutz-Schlüsselbund, dessen Einträge nie in der Schlüsselbundverwaltung erscheinen.

Leute suchen in der Schlüsselbundverwaltung nach dem VPN-Namen, finden nichts und schließen daraus, das Passwort sei nicht gespeichert. Apples TN3137-Notiz sagt, dass es mehr als eine Schlüsselbund-Implementierung gibt; das Fehlen in dieser Liste ist normal, kein Beweis für einen defekten Eintrag.

Auch die Eintragstypen sind nicht austauschbar. Ein Kontopasswort, eine Passphrase für einen privaten Schlüssel, ein Client-Zertifikat und ein gemeinsames IPsec-Geheimnis scheitern unterschiedlich und werden an verschiedenen Stellen repariert; ein gespeichertes Passwort neu einzutippen hilft bei einem abgelehnten Zertifikat nicht. Ist der Mac in der Verwaltung eingeschrieben, ist das Profil ein weiterer Eigentümer: Eine VPN-Nutzlast kann Anmeldedaten tragen und sie beim Aktualisieren erneut anwenden, sodass das Löschen eines lokalen Eintrags vorübergehend ist, bis ein Administrator das ändert.

Wenn Anmeldepasswort und Schlüsselbund-Passwort auseinanderdriften

Der Anmeldeschlüsselbund nutzt normalerweise Ihr Mac-Anmeldepasswort, weshalb die beiden auseinanderdriften können. Ein Administrator, der Ihr Passwort von einem anderen Konto zurücksetzt, ein Wiederherstellungsvorgang oder eine Verzeichnisänderung können den Schlüsselbund auf den alten Wert gesperrt lassen, und dann fragt macOS nach einem Passwort, das Sie gerade nicht gesetzt haben.

Bei der Anmeldung kann eine Warnung erscheinen, dass das System den Schlüsselbund nicht entsperren konnte. Zum Aktualisieren wird das alte Passwort gebraucht, was gut ist, wenn Sie es erinnern, und nutzlos, wenn nicht. Die zwei ehrlichen Reparaturen sind Schlüsselbundverwaltung, Bearbeiten, Passwort für Schlüsselbund "login" ändern, oder ein neuer Anmeldeschlüsselbund mit erneut eingegebenen nötigen Anmeldedaten. Die zweite Option zerstört gespeicherte Einträge.

Setzen Sie nicht den ganzen Schlüsselbund zurück, weil ein VPN eine alte Anmeldedaten ablehnt: Das entfernt unabhängige Konten und identifiziert den Eintrag trotzdem nicht.

Ein Befehl klärt die Frage lokal gegen entfernt. Fragen Sie den Schlüsselbund direkt nach dem Eintrag:

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Verwenden Sie Server und Konto aus den Einstellungen Ihres Clients. Erscheint derselbe Bestätigungsdialog, wenn Sie den Schlüsselbund selbst fragen, ist die Abfrage lokal und der Server nur Zuschauer. Existiert kein solcher Eintrag, speichert der Client das Passwort nicht dort, wo Sie annahmen. Das Flag -g gibt das Geheimnis im Terminal aus, vermeiden Sie also Bildschirmfreigabe.

Aktualisieren Sie den Eintrag, den der Client tatsächlich liest

Hat sich das Konto am Gateway geändert, ändern Sie es zuerst dort und aktualisieren dann den gespeicherten Eintrag über die Einstellungen des Clients. Einen Schlüsselbund-Eintrag von Hand zu bearbeiten ist unzuverlässig: Der Client liest womöglich ein anderes Dienst-und-Konto-Paar, und ein verwaltetes Profil überschreibt Ihre Änderung.

Bei einem vermutlich veralteten Eintrag gleichen Sie Dienst, Konto und Protokoll ab, bevor Sie etwas löschen:

security delete-generic-password -s "Client Name" -a [email protected]

Einen ähnlich benannten Eintrag einer anderen Verbindung zu löschen ist ein häufiger selbst verursachter Ausfall. Das Entfernen ist nur lokal: Es macht keine Sitzung am Gateway ungültig, löst kein Gerätezertifikat und ändert nicht das Kontopasswort.

Bestätigen Sie, dass die Reparatur einen Neustart übersteht

Verbinden Sie, wecken Sie aus dem Ruhezustand, melden Sie sich ab und wieder an, und starten Sie dann einmal neu. Eine saubere Folge ohne Dialog und ein Client-Status, der das erwartete Konto nennt, ist der einzige Beweis, der zählt. Wo die Abfrage zurückkommt, verrät die verpasste Schicht: nach einem Update die Bestätigung, nach einer Netzwerkänderung die eigene Abfrage des Clients, nach einem Neustart ein Profil, das den Zustand erneut anwendet.

Prüfen Sie im Client eine Einstellung zum Passwort merken oder immer fragen, bevor Sie den Schlüsselbund erneut anfassen. Manche Konfigurationen, besonders IKEv2 mit Authentifizierung pro Benutzer, fragen konstruktionsbedingt bei jeder Verbindung; eine Schlüsselbund-Reparatur hilft nicht.

Notieren Sie, welchen Eintrag Sie geändert haben, welcher Speicher ihn besaß und zu welchem Konto er gehörte, damit die nächste Abfrage in Sekunden zuzuordnen ist. Apples Seite Anfragen für Schlüsselbundzugriff ist die Referenz dafür, was die drei Schaltflächen genehmigen.