Welcher Schlüsselbund-Eintrag hält Ihre VPN-Anmeldung veraltet?

Beobachten Sie, wie der Mac ein altes Passwort anbietet, beobachten Sie, wie die Anmeldung scheitert, und der naheliegende nächste Schritt wird ein vollständiger Reset des Schlüsselbunds. Diese Korrektur ist teuer und trifft meist den falschen Eintrag. Ein veraltetes Passwort, ein abgelaufenes Zertifikat und ein gesperrtes Konto erzeugen alle eine Ablehnung, und nur eines davon liegt in einem Schlüsselbund-Eintrag, den Sie löschen können. Lesen Sie die Abfrage, bevor Sie etwas löschen.

Drei Fehler, drei verschiedene Löschungen

Ein Kontopasswort ist ein Geheimnis, das der Client an das Gateway sendet, und sein Löschen zwingt den Benutzer, ein neues einzugeben. Eine Passphrase für einen privaten Schlüssel entsperrt eine Schlüsseldatei, daher lässt das Löschen des Passphrasen-Eintrags den Schlüssel intakt, macht ihn aber unbrauchbar, bis jemand die Phrase erneut eingibt. Ein Client-Zertifikat hat ein Gültigkeitsfenster, und kein noch so häufiges Löschen von Passwörtern erneuert es. Das sind drei Objekte mit drei Eigentümern, und der Fehlertext des Clients nennt, welches versagt hat.

Der Vergleich ist nicht akademisch, denn die falsche Wahl kostet einen Support-Zyklus und lehrt den Benutzer, dass die Korrektur zufällig ist. Ein Zertifikats-Ablauffehler übersteht jeden Passwort-Reset, und ein Passwort-Eintrag, der immer wieder auftaucht, kann zu einem anderen Dienst als dem VPN gehören. Ordnen Sie den Fehler zuerst dem Objekt zu und entscheiden Sie dann, ob Sie löschen, neu eingeben oder erneuern.

Das Zurücksetzen des gesamten Schlüsselbunds entfernt Zugangsdaten für Mail, Browser und andere Dienste. Es ist ein letztes Mittel mit eigenen Wiederherstellungskosten, kein Schritt zur VPN-Fehlerbehebung.

Lesen Sie Abfrage und Konto, bevor Sie einen Eintrag anfassen

Lesen Sie den genauen Fehler und dann, welches Konto der Client verwendet. Die Website-Anmeldung eines Anbieters und seine Gateway-Zugangsdaten sind oft verschiedene Konten, und der Client speichert möglicherweise das eine, während der Benutzer das andere zurücksetzt. Prüfen Sie den Profilnamen und den Benutzernamen in den Client-Einstellungen. Wenn diese nicht mit dem übereinstimmen, was der Benutzer annimmt, ist das gespeicherte Passwort nicht veraltet; es gehört zu etwas anderem.

Ein abgelehntes Zertifikat meldet normalerweise Ablauf oder eine nicht vertrauenswürdige Kette statt eines Authentifizierungsfehlers, während ein gesperrtes Konto eine Richtlinien- oder Sperrmeldung meldet. Diese Meldungen stammen aus verschiedenen Schichten, was den Wortlaut zum schnellsten Weg macht, sie zu unterscheiden. Kopieren Sie die Meldung ins Ticket, denn sie ist der einzige Beweis, der den nächsten Versuch übersteht.

Finden Sie den Eintrag, dem das Geheimnis wirklich gehört

Beginnen Sie mit der eigenen Passwort-vergessen-Funktion des Clients, wenn es eine gibt, denn das ist der unterstützte Weg, und sie trifft den richtigen Eintrag. Wenn Sie Keychain Access öffnen müssen, suchen Sie nach dem Dienstnamen aus der Client-Konfiguration statt nach dem Wort VPN, das viel zu viel trifft. Prüfen Sie den ausgewählten Eintrag vor dem Löschen: Konto, Art und Änderungsdatum sollten alle zur Geschichte passen. Ein Eintrag, der zuletzt vor Jahren geändert wurde, ist wahrscheinlich nicht der, den der Client gerade benutzt hat.

Abwesenheit in einer Ansicht beweist nicht, dass nichts gespeichert ist. Einträge können im Anmelde-Schlüsselbund, im iCloud-Schlüsselbund oder in einem verwalteten Profil liegen, und jeder ist ein anderer Container mit anderen Zugriffsregeln. Prüfen Sie die eigene Liste des Clients und die Systemliste, bevor Sie schließen, dass das Geheimnis fehlt.

Für einen verwalteten Mac verwenden Sie den Entfernungsprozess des Administrators. Löschen rund um die Einschränkungen eines Profils hinterlässt das Gerät in einem Zustand, den die nächste Richtlinienprüfung rückgängig macht.

Einmal neu verbinden, dann aufhören

Machen Sie nach dem Entfernen oder Aktualisieren des Eintrags einen Anmeldeversuch über den unterstützten Ablauf. Ein Versuch beantwortet die Frage, während fünf Versuche sie mit einer Kontosperre beantworten. Wenn sich der Wortlaut der Ablehnung ändert, hat das Löschen gewirkt und der verbleibende Fehler liegt in einer anderen Schicht. Wenn er sich identisch wiederholt, stellen Sie das Entfernte wieder her und kehren Sie zur Abfrage zurück.

Das Entfernen eines lokalen Eintrags lässt die Zugangsdaten beim Dienst unberührt. Wenn das Geheimnis von jemand anderem gesehen worden sein könnte, behandeln Sie es als Rotationsaufgabe und nutzen Sie den Passwort-ersetzen- oder Schlüssel-ersetzen-Ablauf des Anbieters, denn die Schlüsselbund-Kopie war einer von mehreren Orten, an denen es existierte. Lokale Bereinigung und Fernwiderruf sind getrennte Vorgänge mit getrennten Eigentümern.

Vergleichen Sie, was jede Korrektur versprechen kann

Das Löschen eines Passwort-Eintrags verspricht, dass der Client wieder nach einem Passwort fragt, und nichts weiter. Das Ersetzen eines Zertifikats verspricht ein neues Gültigkeitsfenster, aber nur wenn der ausstellende Dienst erreichbar ist und das Profil aktualisiert wird. Das Rotieren eines Passworts oder Schlüssels verspricht, dass das alte Geheimnis nicht mehr funktioniert, und das ist die einzige Korrektur, die hilft, wenn die Offenlegung die Sorge ist. Wählen Sie das Versprechen, das Sie brauchen, und führen Sie dann diesen Vorgang aus.

Schreiben Sie das Ergebnis ins Ticket: welcher Eintrag gelöscht, welche Zugangsdaten rotiert und welche Anmeldung erfolgreich war. Die nächste Person mit demselben Symptom braucht diese Zuordnung statt einer Geschichte über einen neu aufgebauten Schlüsselbund. Apples Keychain Access-Anleitung beschreibt die Container und ihre Zugriffsregeln, und genau diesen Teil raten die Leute meist.