Το Mac ζητά συνεχώς κωδικό VPN: κλειδοθήκη ή λογαριασμός;

Ξεκλειδώνετε το Mac, ανοίγετε τον πελάτη VPN και ένα φύλλο κωδικού εμφανίζεται πριν ξεκινήσει καν η σήραγγα. Πληκτρολογείτε τον κωδικό της πύλης και είτε απορρίπτεται είτε το φύλλο επιστρέφει λίγο αργότερα. Μετά ρωτά ξανά μετά την αφύπνιση από αναστολή, την αποσύνδεση ή μια ενημέρωση του πελάτη. Αυτό το φύλλο σπάνια είναι ο διακομιστής VPN που ζητά διαπιστευτήρια; συνήθως το macOS ζητά άδεια για να διαβάσει, να ξεκλειδώσει ή να αλλάξει μια τοπική εγγραφή, και ο κωδικός ανήκει στον κάτοχο αυτής της εγγραφής, όχι στον λογαριασμό VPN σας.

Ταιριάξτε το φύλλο με την ταυτότητα πίσω του

Τέσσερα μηνύματα μοιάζουν σχεδόν ίδια και μόνο ένα αφορά την πύλη. Η διατύπωση, η διεργασία που ζητά πρόσβαση και το στοιχείο που αναφέρεται από κάτω σας λένε ποιο αντιμετωπίζετε.

Ένα παράθυρο για τοπική πρόσβαση δεν αποδεικνύει τίποτε για τον διακομιστή. Μια απόρριψη από την πύλη εμφανίζεται μέσα στον πελάτη με το κείμενο σφάλματος του κατασκευαστή, όχι ως φύλλο συστήματος που προσφέρει ξεκλείδωμα κλειδοθήκης. Το αντίστροφο είναι εξίσου συχνό: η πληκτρολόγηση του κωδικού πύλης σε φύλλο κλειδοθήκης αφήνει την εγγραφή κλειδωμένη και προσθέτει μια αποτυχημένη προσπάθεια.

Το παράθυρο ονομάζει κάτοχο, χώρο αποθήκευσης και ενέργεια

Τα μηνύματα κλειδοθήκης αφορούν την ανάκτηση, όχι τον έλεγχο ταυτότητας σε κάτι απομακρυσμένο. Η περιγραφή της Apple για το παράθυρο αιτήματος είναι στενή: Να επιτρέπεται μία φορά, Να επιτρέπεται πάντα και Απόρριψη ελέγχουν αν αυτή η εφαρμογή μπορεί να διαβάσει το αποθηκευμένο στοιχείο. Κανένα από τα τρία δεν παρέχει προνόμιο στην πύλη ούτε αλλάζει τι πιστεύει ο διακομιστής για τον κωδικό σας.

Όταν ο αιτών είναι πελάτης που μόλις ενημερώθηκε, η εκ νέου έγκριση είναι αναμενόμενη: η νέα έκδοση δεν ταιριάζει πλέον με τη λίστα ελέγχου πρόσβασης του στοιχείου, οπότε το macOS ρωτά ξανά. Απαντήστε Να επιτρέπεται μία φορά όσο κάνετε διάγνωση. Το Να επιτρέπεται πάντα είναι μόνιμη άδεια σε αυτή την εφαρμογή και λάθος απάντηση για μια βοηθητική διεργασία που δεν περιμένατε· απορρίψτε και ελέγξτε τον κατασκευαστή αν το εκτελέσιμο δεν είναι ο πελάτης που εγκαταστήσατε.

Ένα αίτημα για έγκριση διαχειριστή είναι τρίτη κατηγορία. Ονομάζει μια ρύθμιση συστήματος ή έναν προστατευμένο χώρο που αλλάζει, και το διαπιστευτήριο που θέλει είναι λογαριασμός διαχειριστή σε αυτό το Mac. Δεν χρειάζονται όλα τα προσωπικά στοιχεία κλειδοθήκης κάτι τέτοιο· όσα βρίσκονται πίσω από τη διαμόρφωση δικτύου συνήθως το χρειάζονται, γιατί η διαμόρφωση ανήκει στο σύστημα, όχι στη συνεδρία σύνδεσής σας.

Πού μπορεί να ζει ένας κωδικός VPN σε Mac

Η κλειδοθήκη είναι ένας πιθανός χώρος αποθήκευσης, όχι ο ορισμός του. Μια ενσωματωμένη διαμόρφωση VPN που δημιουργήθηκε στις Ρυθμίσεις Συστήματος κρατά τα διαπιστευτήριά της με τη διαμόρφωση δικτύου, ως διαχειριζόμενη ρύθμιση συστήματος. Ένας πελάτης τρίτου μέρους κρατά συνήθως ένα στοιχείο στην κλειδοθήκη σύνδεσής σας: γενικό κωδικό με κλειδί από όνομα υπηρεσίας ή κωδικό διαδικτύου με κλειδί από διακομιστή, πρωτόκολλο και λογαριασμό. Πολλές νεότερες εφαρμογές χρησιμοποιούν αντ' αυτού την κλειδοθήκη προστασίας δεδομένων, της οποίας τα στοιχεία δεν εμφανίζονται ποτέ στην Πρόσβαση Κλειδοθήκης.

Οι άνθρωποι αναζητούν το όνομα VPN στην Πρόσβαση Κλειδοθήκης, δεν βρίσκουν τίποτε και συμπεραίνουν ότι ο κωδικός δεν αποθηκεύεται. Η σημείωση TN3137 της Apple λέει ότι υπάρχουν περισσότερες από μία υλοποιήσεις κλειδοθήκης· η απουσία από αυτή τη λίστα είναι φυσιολογική, όχι απόδειξη χαλασμένου στοιχείου.

Ούτε οι τύποι εγγραφών είναι εναλλάξιμοι. Ένας κωδικός λογαριασμού, μια φράση πρόσβασης ιδιωτικού κλειδιού, ένα πιστοποιητικό πελάτη και ένα κοινό μυστικό IPsec αποτυγχάνουν διαφορετικά και επισκευάζονται σε διαφορετικά σημεία· Η εκ νέου πληκτρολόγηση ενός αποθηκευμένου κωδικού δεν κάνει τίποτε για ένα πιστοποιητικό που απορρίφθηκε. Αν το Mac είναι ενταγμένο σε διαχείριση, το προφίλ είναι άλλος ιδιοκτήτης: ένα φορτίο VPN μπορεί να μεταφέρει διαπιστευτήρια και να τα εφαρμόσει ξανά κατά την ανανέωση, οπότε η διαγραφή τοπικού στοιχείου είναι προσωρινή μέχρι να το αλλάξει διαχειριστής.

Όταν ο κωδικός σύνδεσης και ο κωδικός κλειδοθήκης αποκλίνουν

Η κλειδοθήκη σύνδεσης χρησιμοποιεί συνήθως τον κωδικό σύνδεσης του Mac σας, γι' αυτό οι δύο μπορούν να αποκλίνουν. Ένας διαχειριστής που επαναφέρει τον κωδικό σας από άλλο λογαριασμό, μια ροή ανάκτησης ή μια αλλαγή καταλόγου μπορούν να αφήσουν την κλειδοθήκη κλειδωμένη στην παλιά τιμή, και τότε το macOS ζητά κωδικό που δεν ορίσατε μόλις.

Κατά τη σύνδεση μπορεί να δείτε μια προειδοποίηση ότι το σύστημα δεν μπόρεσε να ξεκλειδώσει την κλειδοθήκη. Η ενημέρωσή της απαιτεί τον παλιό κωδικό, κάτι καλό αν τον θυμάστε και άχρηστο αν όχι. Οι δύο έντιμες επισκευές είναι Πρόσβαση Κλειδοθήκης, Επεξεργασία, Αλλαγή κωδικού για την κλειδοθήκη "login", ή μια νέα κλειδοθήκη σύνδεσης με τα απαραίτητα διαπιστευτήρια ξανά. Η δεύτερη επιλογή καταστρέφει αποθηκευμένα στοιχεία.

Μην επαναφέρετε όλη την κλειδοθήκη επειδή μία VPN απορρίπτει παλιό διαπιστευτήριο: αυτό αφαιρεί άσχετους λογαριασμούς και πάλι δεν προσδιορίζει το στοιχείο.

Μία εντολή λύνει το ερώτημα τοπικό ή απομακρυσμένο. Ζητήστε από την κλειδοθήκη το στοιχείο απευθείας:

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Χρησιμοποιήστε τον διακομιστή και τον λογαριασμό από τις ρυθμίσεις του πελάτη σας. Αν το ίδιο φύλλο έγκρισης εμφανιστεί όταν ζητάτε εσείς την κλειδοθήκη, το αίτημα είναι τοπικό και ο διακομιστής είναι θεατής. Αν δεν υπάρχει τέτοιο στοιχείο, ο πελάτης δεν αποθηκεύει τον κωδικό εκεί που υποθέσατε. Η σημαία -g εκτυπώνει το μυστικό στο τερματικό, γι' αυτό αποφύγετε τον διαμοιρασμό οθόνης.

Ενημερώστε την εγγραφή που διαβάζει πραγματικά ο πελάτης

Αν ο λογαριασμός άλλαξε στην πύλη, αλλάξτε τον πρώτα εκεί και μετά ενημερώστε την αποθηκευμένη εγγραφή μέσω των ρυθμίσεων του πελάτη. Η χειροκίνητη επεξεργασία στοιχείου κλειδοθήκης είναι αναξιόπιστη: ο πελάτης μπορεί να διαβάζει άλλο ζεύγος υπηρεσίας και λογαριασμού, και ένα διαχειριζόμενο προφίλ θα αντικαταστήσει την αλλαγή σας.

Για ένα στοιχείο που υποπτεύεστε ότι είναι παρωχημένο, ταιριάξτε υπηρεσία, λογαριασμό και πρωτόκολλο πριν διαγράψετε οτιδήποτε:

security delete-generic-password -s "Client Name" -a [email protected]

Η διαγραφή ενός στοιχείου με παρόμοιο όνομα από άλλη σύνδεση είναι συχνή αυτοπροκαλούμενη διακοπή. Η αφαίρεση είναι μόνο τοπική: δεν ανακαλεί συνεδρία στην πύλη, δεν λύνει πιστοποιητικό συσκευής ούτε αλλάζει τον κωδικό του λογαριασμού.

Επιβεβαιώστε ότι η διόρθωση επιβιώνει από επανεκκίνηση

Συνδεθείτε, αφυπνίστε από αναστολή, αποσυνδεθείτε και συνδεθείτε ξανά και μετά επανεκκινήστε μία φορά. Μια καθαρή ακολουθία χωρίς φύλλο και μια κατάσταση πελάτη που ονομάζει τον αναμενόμενο λογαριασμό είναι η μόνη απόδειξη που μετρά. Το σημείο όπου επιστρέφει το αίτημα σάς λέει ποιο επίπεδο χάσατε: μετά από ενημέρωση είναι η έγκριση, μετά από αλλαγή δικτύου το ίδιο το αίτημα του πελάτη, μετά από επανεκκίνηση ένα προφίλ που εφαρμόζει ξανά κατάσταση.

Ελέγξτε τον πελάτη για ρύθμιση απομνημόνευσης κωδικού ή πάντα ερώτησης πριν αγγίξετε ξανά την κλειδοθήκη. Μερικές διαμορφώσεις, ειδικά IKEv2 με έλεγχο ταυτότητας ανά χρήστη, ρωτούν εκ σχεδιασμού σε κάθε σύνδεση· η επισκευή κλειδοθήκης δεν θα βοηθήσει.

Σημειώστε ποιο στοιχείο αλλάξατε, ποιος χώρος το κατείχε και σε ποιον λογαριασμό ανήκε, ώστε το επόμενο αίτημα να εντοπίζεται σε δευτερόλεπτα. Η σελίδα της Apple Αιτήματα πρόσβασης κλειδοθήκης είναι η αναφορά για το τι εγκρίνουν τα τρία κουμπιά.