Γιατί το VPN του Mac ζητά πρόσβαση στο Keychain κάθε φορά

Ένα κλικ στο Connect θα έπρεπε να παράγει ένα παράθυρο σύνδεσης. Σε ένα Mac συχνά παράγει τρία, και σπάνια μοιράζονται τον ίδιο ιδιοκτήτη: η κλειδοθήκη κατέχει τις τοπικές ερωτήσεις διαπιστευτηρίων, η πύλη VPN κατέχει την ταυτοποίηση, και ο πελάτης κατέχει τις δικές του ειδοποιήσεις. Αντί να ψάχνετε για έναν διακόπτη που σωπαίνει τα πάντα, αντιμετωπίστε κάθε παράθυρο ως ξεχωριστό σφάλμα με τη δική του διόρθωση. Ο παρακάτω οδηγός περνά από μία σκόπιμη απόπειρα σύνδεσης και τελειώνει με έναν έλεγχο που μπορείτε να επαναλάβετε.

Ονομάστε τον ιδιοκτήτη κάθε παραθύρου πριν αλλάξετε μια ρύθμιση

Το πρώτο βήμα είναι λογιστική, όχι διαμόρφωση. Κάντε μία απόπειρα σύνδεσης και, για κάθε παράθυρο που εμφανίζεται, σημειώστε τέσσερα πεδία: το όνομα της εφαρμογής στο παράθυρο, το ακριβές κείμενο χωρίς τίποτε μυστικό, τη φάση στην οποία εμφανίστηκε, και τι συνέβη όταν το ακυρώσατε. Τρεις τέτοιες γραμμές καλύπτουν σχεδόν κάθε αναφορά που έχω δει.

Η ιδιοκτησία καθορίζει τη σωστή διόρθωση, και η λάθος διόρθωση είναι συνήθως αυτό που μετατρέπει μία ερώτηση σε τρεις:

Μια ερώτηση που επιστρέφει μέσα στην ίδια απόπειρα είναι διαφορετικό σήμα από μία που επιστρέφει στην επόμενη απόπειρα. Η πρώτη συνήθως σημαίνει ότι η σύνδεση επανεκκινήθηκε κάτω από εσάς· η δεύτερη συνήθως σημαίνει ότι ζητούνται ξανά αποθηκευμένα διαπιστευτήρια. Σημειώστε ποια έχετε πριν αγγίξετε την κλειδοθήκη, γιατί οι δύο δεν έχουν σχεδόν τίποτα κοινό.

Βρείτε πόσα πράγματα ξεκινούν τη σήραγγα

Τέσσερις μηχανισμοί μπορούν να ξεκινήσουν το ίδιο VPN σε ένα Mac: μια ενέργεια στη γραμμή μενού, ένα στοιχείο σύνδεσης, ένας κανόνας On Demand, και ένα σενάριο ή πράκτορας. Όταν ενεργοποιούνται δύο, η δεύτερη εκκίνηση μπορεί να φτάσει ενώ η πρώτη περιμένει ακόμη ταυτοποίηση, κάτι που παράγει διπλό παράθυρο και καμία πρόοδο. Καταγράψτε πρώτα τι έχει ρυθμιστεί: scutil --nc list εκτυπώνει τις υπηρεσίες VPN που γνωρίζουν οι Ρυθμίσεις Συστήματος, με την τρέχουσα κατάστασή τους. Οι πελάτες που παρέχουν τη δική τους επέκταση δικτύου κρατούν προφίλ μέσα στην εφαρμογή και μπορεί να μην εμφανίζονται εκεί, οπότε ελέγξτε και τη δική τους λίστα συνδέσεων.

Έπειτα αναζητήστε ανταγωνιστικές εκκινήσεις. scutil --nc show "Work VPN" εκτυπώνει το λεξικό διαμόρφωσης μιας ενσωματωμένης υπηρεσίας, μαζί με τους κανόνες On Demand· ένας κανόνας που επανασυνδέεται σε κάθε αλλαγή διεπαφής θα επανεκκινεί τη σήραγγα — και θα ξανανοίγει την ερώτηση ταυτοποίησης — κάθε φορά που το Wi-Fi περιπλανιέται ή μια οθόνη ξυπνά τη στοίβα δικτύου. Ελέγξτε τα στοιχεία σύνδεσης στις Ρυθμίσεις Συστήματος > Γενικά > Στοιχεία σύνδεσης, και καταγράψτε τους πράκτορες ανά χρήστη με ls ~/Library/LaunchAgents. Αφήστε ήσυχο ό,τι ανήκει σε στοίβα ασφάλειας που διαχειρίζεται MDM· η αφαίρεσή του συνήθως επαναφέρεται στον επόμενο έλεγχο.

Για να δείτε τι τρέχει πραγματικά κατά τη διάρκεια μιας απόπειρας: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Δύο βοηθοί πελάτη εκεί που περιμένετε έναν εξηγούν το «γιατί πήρα δύο ερωτήσεις» πολύ συχνότερα από οποιοδήποτε πρόβλημα διαπιστευτηρίων.

Διορθώστε την πρόσβαση στην κλειδοθήκη χωρίς επαναφορά της κλειδοθήκης

Η ερώτηση προέρχεται από τη λίστα ελέγχου πρόσβασης του αποθηκευμένου στοιχείου, όχι από το πρωτόκολλο VPN. Κάθε στοιχείο καταγράφει ποιες εφαρμογές μπορούν να το διαβάσουν χωρίς ερώτηση. Μετά από ενημέρωση του πελάτη, ο βοηθός που ρωτά μπορεί να φέρει διαφορετικό όνομα ή υπογραφή ενώ το στοιχείο εξακολουθεί να αναφέρει τον παλιό, οπότε το macOS ρωτά ξανά σε κάθε σύνδεση. Η έγκριση του νέου βοηθού για αυτό το ένα στοιχείο είναι ολόκληρη η διόρθωση· η έγκριση κάθε εφαρμογής δεν είναι.

Μπορείτε να επιβεβαιώσετε ότι η ACL είναι η αιτία χωρίς να αγγίξετε το VPN: security find-generic-password -s "service-name" -g διαβάζει το ίδιο στοιχείο από ένα τερματικό. Αν αυτή η εντολή προκαλέσει επίσης την ερώτηση, το παράθυρο ανήκει στην κλειδοθήκη και η σήραγγα είναι μόνο το έναυσμα. Οι οδηγίες της Apple για τα τρία κουμπιά — Να επιτρέπεται μία φορά, Να επιτρέπεται πάντα, Απόρριψη — αξίζουν ένα διάβασμα, γιατί η Απόρριψη είναι αυτό που κάνει την ερώτηση να επιστρέφει αμέσως αντί στην επόμενη απόπειρα.

Αν εγκρίνατε τον λάθος βοηθό, ανοίξτε το στοιχείο στο Keychain Access, μεταβείτε στον Έλεγχο πρόσβασης και αφαιρέστε αυτή την καταχώριση· αυτή είναι η επαναφορά. Η διαγραφή της κλειδοθήκης σύνδεσης, ή η εκτέλεση ενός εργαλείου επιδιόρθωσης που την ξαναχτίζει, πετά επίσης άσχετους κωδικούς πρόσβασης και είναι πολύ μεγαλύτερη αλλαγή από το πρόβλημα.

Κρατήστε τα βήματα σύνδεσης και πολιτικής στις ροές που τα κατέχουν

Η σύνδεση μέσω προγράμματος περιήγησης ή η πρόκληση MFA ανήκουν στην πύλη. Αν ο οργανισμός σας προσφέρει διατήρηση συνεδρίας ή ταυτοποίηση βάσει πιστοποιητικών, χρησιμοποιήστε την, γιατί αυτός είναι ο υποστηριζόμενος τρόπος να ταυτοποιείστε σπανιότερα. Η πληκτρολόγηση σταθερού κωδικού σε έναν πελάτη, ή η αποθήκευση κωδικού σε σενάριο ώστε να μην εμφανίζεται ποτέ η ερώτηση, αντικαθιστά έναν διαδραστικό παράγοντα με στατικό μυστικό και αποτυγχάνει την επόμενη φορά που αλλάζει η πολιτική.

Οι ειδοποιήσεις του οργανισμού είναι η μόνη κατηγορία που δεν πρέπει να καταστέλλετε. Συνήθως επιβάλλουν έλεγχο κατάστασης ή αποδοχή αποδεκτής χρήσης, και η απόκρυψή τους μπορεί να βγάλει τη συσκευή εκτός συμμόρφωσης ακόμη και όταν η σήραγγα λειτουργεί. Τα παράθυρα σφαλμάτων είναι η άλλη κατηγορία: κρατήστε το κείμενο του πρώτου σφάλματος, γιατί ένα δεύτερο παράθυρο είναι συχνά η ίδια αποτυχία που αναφέρεται μετά από νέα απόπειρα.

Επαληθεύστε με μία απόπειρα, και μετά από επανεκκίνηση

Αφού αφαιρεθούν οι διπλές εκκινήσεις και διορθωθεί η καταχώριση στην κλειδοθήκη, κάντε μία μόνο απόπειρα: κλείστε κάθε στιγμιότυπο του πελάτη, μαζί με τον βοηθό της γραμμής μενού, συνδεθείτε μία φορά, και μετρήστε τα παράθυρα. Θέλετε την έγκριση της κλειδοθήκης, αν το στοιχείο ξαναχτίστηκε, και ένα βήμα ταυτοποίησης. Τίποτε άλλο. scutil --nc status "Work VPN" θα πρέπει να αναφέρει Connected για μια ενσωματωμένη υπηρεσία.

Έπειτα επανεκκινήστε μία φορά και επαναλάβετε. Μια ερώτηση που επιστρέφει μόνο μετά από επανεκκίνηση δείχνει σε στοιχείο σύνδεσης ή κανόνα On Demand, όχι σε διαπιστευτήρια· μία που επιστρέφει μέσα στη συνεδρία δείχνει στην ACL ή σε δεύτερη εκκίνηση. Αν επαναλαμβάνεται ακόμη και μετά από τις δύο δοκιμές, το χρήσιμο που μπορείτε να δώσετε στον διαχειριστή σας είναι ο πίνακας τριών γραμμών από την πρώτη απόπειρα — ιδιοκτήτης, ακριβές κείμενο, φάση — όχι ένα στιγμιότυπο οθόνης του παραθύρου.

Λιγότερες ερωτήσεις είναι ο στόχος, όχι σιωπηλές. Μια σύνδεση που κρύβει τα βήματα εξουσιοδότησής της είναι μια σύνδεση που δεν μπορείτε πλέον να ελέγξετε, και η επόμενη αλλαγή πιστοποιητικών θα σας βρει χωρίς ιδέα ποιο στοιχείο αποτυγχάνει.