Warum Ihr Mac-VPN jedes Mal Keychain-Zugriff anfordert
Ordnen Sie zu, welche Komponente jede Mac-VPN-Abfrage auslöst, stoppen Sie doppelte Verbindungsversuche und reparieren Sie den Keychain-Zugriff, ohne den gesamten Schlüsselbund zurückzusetzen.
Ein Klick auf Verbinden sollte ein Anmeldefenster erzeugen. Auf einem Mac erzeugt er oft drei, und sie teilen selten einen Eigentümer: der Schlüsselbund besitzt lokale Abfragen nach Anmeldedaten, das VPN-Gateway besitzt die Authentifizierung, und der Client besitzt seine eigenen Hinweise. Statt nach einem Schalter zu suchen, der alles verstummen lässt, behandeln Sie jedes Fenster als eigenen Defekt mit eigener Lösung. Das folgende Runbook führt durch einen bewussten Verbindungsversuch und endet mit einer Prüfung, die Sie wiederholen können.
Benennen Sie den Eigentümer jedes Dialogs, bevor Sie eine Einstellung ändern
Der erste Schritt ist Buchhaltung, nicht Konfiguration. Führen Sie einen Verbindungsversuch aus und notieren Sie für jedes erscheinende Fenster vier Felder: den im Dialog angezeigten App-Namen, den exakten Text ohne alles Geheime, die Phase, in der es erschien, und was geschah, als Sie es abbrachen. Drei solche Zeilen decken fast jeden Bericht ab, den ich gesehen habe.
Die Zuständigkeit entscheidet über die richtige Lösung, und die falsche Lösung ist meist das, was aus einer Abfrage drei macht:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Eine Abfrage, die innerhalb desselben Versuchs zurückkehrt, ist ein anderes Signal als eine, die beim nächsten Versuch zurückkehrt. Erstere bedeutet meist, dass die Verbindung unter Ihnen neu gestartet wurde; letztere bedeutet meist, dass erneut nach gespeicherten Anmeldedaten gefragt wird. Notieren Sie, welche Sie haben, bevor Sie den Schlüsselbund anfassen, denn die beiden haben fast nichts gemeinsam.
Finden Sie heraus, wie viele Dinge den Tunnel starten
Vier Mechanismen können dasselbe VPN auf einem Mac starten: eine Menüleistenaktion, ein Anmeldeobjekt, eine On-Demand-Regel und ein Skript oder Agent. Wenn zwei davon auslösen, kann der zweite Start eintreffen, während der erste noch auf Authentifizierung wartet, was ein doppeltes Fenster und keinen Fortschritt erzeugt. Listen Sie zuerst auf, was konfiguriert ist: scutil --nc list druckt die VPN-Dienste, die Systemeinstellungen kennen, mit ihrem aktuellen Status. Clients, die ihre eigene Netzwerkerweiterung mitbringen, halten Profile in der App und erscheinen dort möglicherweise nicht, also prüfen Sie auch die eigene Verbindungsliste des Clients.
Suchen Sie dann nach konkurrierenden Startern. scutil --nc show "Work VPN" druckt das Konfigurationswörterbuch eines integrierten Dienstes, einschließlich On-Demand-Regeln; eine Regel, die bei jeder Schnittstellenänderung neu verbindet, startet den Tunnel neu — und öffnet die Authentifizierungsabfrage erneut — jedes Mal, wenn Wi-Fi wechselt oder ein Display den Netzwerk-Stack aufweckt. Prüfen Sie Anmeldeobjekte unter Systemeinstellungen > Allgemein > Anmeldeobjekte, und listen Sie benutzerspezifische Agenten mit ls ~/Library/LaunchAgents. Lassen Sie alles in Ruhe, das einem MDM-verwalteten Sicherheits-Stack gehört; das Entfernen wird beim nächsten Check-in meist zurückgeschoben.
Um zu sehen, was während eines Versuchs tatsächlich läuft: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Zwei Client-Helfer, wo Sie einen erwarten, erklären "warum habe ich zwei Abfragen bekommen" weit häufiger als jedes Anmeldedatenproblem.
Reparieren Sie den Schlüsselbundzugriff, ohne den Schlüsselbund zurückzusetzen
Die Abfrage stammt aus der Zugriffssteuerungsliste des gespeicherten Eintrags, nicht aus dem VPN-Protokoll. Jeder Eintrag verzeichnet, welche Programme ihn ohne Nachfrage lesen dürfen. Nach einem Client-Update kann der fragende Helfer einen anderen Namen oder eine andere Signatur tragen, während der Eintrag noch den alten auflistet, sodass macOS bei jeder Verbindung erneut fragt. Den neuen Helfer für genau diesen Eintrag zu genehmigen, ist die ganze Lösung; jedes Programm zu genehmigen, ist es nicht.
Sie können bestätigen, dass die ACL die Ursache ist, ohne das VPN anzufassen: security find-generic-password -s "service-name" -g liest denselben Eintrag von einem Terminal. Wenn dieser Befehl die Abfrage ebenfalls auslöst, gehört der Dialog zum Schlüsselbund und der Tunnel ist nur der Auslöser. Apples Hinweise zu den drei Schaltflächen — Einmal erlauben, Immer erlauben, Ablehnen — lohnen sich einmal zu lesen, denn Ablehnen ist das, was die Abfrage sofort statt beim nächsten Versuch zurückkehren lässt.
Wenn Sie den falschen Helfer genehmigt haben, öffnen Sie den Eintrag in der Schlüsselbundverwaltung, wechseln Sie zu Zugriffssteuerung und entfernen Sie diesen Eintrag; das ist das Zurückrollen. Das Löschen des Anmeldeschlüsselbunds oder das Ausführen eines Reparaturwerkzeugs, das ihn neu aufbaut, verwirft auch unzusammenhängende Passwörter und ist eine viel größere Änderung als das Problem.
Halten Sie Anmelde- und Richtlinien-Schritte in den Abläufen, die ihnen gehören
Eine Browser-Anmeldung oder MFA-Aufforderung gehört zum Gateway. Wenn Ihre Organisation Sitzungspersistenz oder zertifikatsbasierte Authentifizierung anbietet, nutzen Sie sie, denn das ist der unterstützte Weg, sich seltener zu authentifizieren. Einen festen Code in einen Client zu tippen oder ein Passwort in einem Skript zu speichern, damit die Abfrage nie erscheint, ersetzt einen interaktiven Faktor durch ein statisches Geheimnis und scheitert beim nächsten Richtlinienwechsel.
Organisationshinweise sind die eine Kategorie, die Sie nicht unterdrücken sollten. Sie erzwingen meist eine Posture-Prüfung oder eine Bestätigung der zulässigen Nutzung, und sie zu verstecken kann das Gerät außer Konformität bringen, selbst während der Tunnel funktioniert. Fehlerdialoge sind die andere Kategorie: Behalten Sie den ersten Fehlertext, denn ein zweiter Dialog ist häufig nur derselbe Fehler, der nach einem erneuten Versuch gemeldet wird.
Prüfen Sie mit einem Versuch, dann nach einem Neustart
Nachdem doppelte Starter entfernt und der Schlüsselbundeintrag repariert wurde, führen Sie einen einzigen Versuch aus: Beenden Sie jede Client-Instanz einschließlich des Menüleisten-Helfers, verbinden Sie sich einmal, und zählen Sie die Fenster. Sie wollen die Schlüsselbundfreigabe, falls der Eintrag neu aufgebaut wurde, und einen Authentifizierungsschritt. Nichts weiter. scutil --nc status "Work VPN" sollte für einen integrierten Dienst Connected melden.
Starten Sie dann einmal neu und wiederholen Sie. Eine Abfrage, die erst nach einem Neustart zurückkehrt, deutet auf ein Anmeldeobjekt oder eine On-Demand-Regel hin, nicht auf Anmeldedaten; eine, die innerhalb der Sitzung zurückkehrt, deutet auf die ACL oder einen zweiten Starter hin. Wenn sie nach beiden Durchläufen weiter auftritt, ist das Nützliche, was Sie Ihrem Administrator geben können, die Tabelle mit drei Zeilen aus dem ersten Versuch — Eigentümer, exakter Text, Phase — nicht ein Screenshot des Dialogs.
Weniger Abfragen ist das Ziel, nicht stille. Eine Verbindung, die ihre Autorisierungsschritte verbirgt, ist eine Verbindung, die Sie nicht mehr prüfen können, und die nächste Zertifikatsrotation wird Sie ohne Ahnung erwischen, welche Komponente fehlschlägt.