Mac daŭre petas VPN-pasvorton: ŝlosilaro aŭ konto?
La Mac povas peti la pasvorton de la salutiga ŝlosilaro, administran pasvorton aŭ la VPN-konton mem. Legu, al kiu apartenas la dialogo, kaj riparu la ĝustan konservejon.
Vi malŝlosas la Mac, malfermas la VPN-klienton, kaj pasvorta folio aperas antaŭ ol la tunelo eĉ ekfunkciis. Vi tajpas la pordegan pasvorton, kaj ĝi aŭ estas rifuzata, aŭ la folio revenas momenton poste. Poste ĝi denove demandas post vekiĝo el dormo, elsaluto aŭ klienta ĝisdatigo. Tiu folio malofte estas la VPN-servilo petanta akreditaĵojn; kutime macOS petas permeson legi, malŝlosi aŭ ŝanĝi lokan rikordon, kaj la pasvorto apartenas al la posedanto de tiu rikordo, ne al via VPN-konto.
Aguordigu la folion kun la identeco malantaŭ ĝi
Kvar instigoj aspektas preskaŭ identaj, kaj nur unu koncernas la pordegon. La vortigo, la procezo petanta aliron kaj la elemento nomita sube diras al vi, kiun vi frontas.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialogo pri loka aliro pruvas nenion pri la servilo. Rifuzo de la pordego aperas ene de la kliento kun la erarteksto de la vendanto, ne kiel sistema folio proponanta malŝlosi ŝlosilaron. La malo same oftas: tajpi la pordegan pasvorton en ŝlosilaran folion lasas la rikordon ŝlosita kaj aldonas malsukcesan provon.
La dialogo nomas posedanton, konservejon kaj agon
Ŝlosilaraj instigoj temas pri elpreno, ne pri aŭtentigo al io fora. La priskribo de Apple pri la petodialogo estas mallarĝa: Permesi unufoje, Ĉiam permesi kaj Rifuzi regas, ĉu tiu aplikaĵo rajtas legi la konservitan elementon. Neniu el la tri donas privilegion ĉe la pordego aŭ ŝanĝas tion, kion la servilo pensas pri via pasvorto.
Kiam la petanto estas kliento ĵus ĝisdatigita, rea aprobo estas atendata: la nova versio ne plu kongruas kun la alirkontrola listo de la elemento, do macOS denove demandas. Respondu Permesi unufoje dum vi diagnozas. Ĉiam permesi estas daŭra permeso al tiu aplikaĵo kaj la malĝusta respondo por helppa procezo, kiun vi ne atendis; rifuzu kaj kontrolu la vendanton, se la duuma dosiero ne estas la kliento, kiun vi instalis.
Instigo petanta administrantan rajtigon estas tria speco. Ĝi nomas sistemagordon aŭ protektitan konservejon, kiu estas ŝanĝata, kaj la akreditaĵo, kiun ĝi volas, estas administranta konto sur ĉi tiu Mac. Ne ĉiu persona ŝlosilara elemento bezonas tion; tiuj malantaŭ la reta agordo kutime jes, ĉar la agordo apartenas al la sistemo, ne al via salutiga seanco.
Kie VPN-pasvorto sur Mac povas loĝi
Ŝlosilaro estas unu ebla konservejo, ne la difino de konservejo. Enkonstruita VPN-agordo kreita en Sistemaj Agordoj gardas siajn akreditaĵojn kun la reta agordo, kiel administrata sistema agordo. Tria kliento kutime gardas elementon en via salutiga ŝlosilaro: ĝenerala pasvorto ŝlosiligita per serva nomo, aŭ interreta pasvorto ŝlosiligita per servilo, protokolo kaj konto. Multaj pli novaj aplikaĵoj uzas anstataŭe la datumprotektan ŝlosilaron, kies elementoj neniam aperas en Ŝlosilara Aliro.
Homoj serĉas en Ŝlosilara Aliro la VPN-nomon, trovas nenion kaj konkludas, ke la pasvorto ne estas konservita. La noto TN3137 de Apple diras, ke ekzistas pli ol unu ŝlosilara efektivigo; foresto el tiu listo estas normala, ne pruvo de difektita elemento.
Ankaŭ la rikordaj tipoj ne estas interŝanĝeblaj. Konta pasvorto, pasfrazo de privata ŝlosilo, klienta atestilo kaj komuna IPsec-sekreto malsukcesas malsame kaj ripariĝas en malsamaj lokoj; retajpi konservitan pasvorton faras nenion por rifuzita atestilo. Se la Mac estas enskribita en administrado, la profilo estas alia posedanto: VPN-ŝarĝo povas porti akreditaĵojn kaj reaplikigi ilin ĉe refreŝigo, do forigi lokan elementon estas provizora ĝis administranto ŝanĝos ĝin.
Kiam la salutiga pasvorto kaj la ŝlosilara pasvorto fordrivas
La salutiga ŝlosilaro kutime uzas vian Mac-salutigan pasvorton, kaj tial la du povas fordrivi. Administranto, kiu restarigas vian pasvorton el alia konto, reakira fluo aŭ dosieruja ŝanĝo povas lasi la ŝlosilaron ŝlosita al la malnova valoro, kaj macOS tiam petas pasvorton, kiun vi ĵus ne agordis.
Ĉe saluto vi eble vidas averton, ke la sistemo ne povis malŝlosi la ŝlosilaron. Ĝisdatigi ĝin bezonas la malnovan pasvorton, kio bonas se vi memoras ĝin kaj senutilas se ne. La du honestaj riparoj estas Ŝlosilara Aliro, Redakti, Ŝanĝi pasvorton por ŝlosilaro "login", aŭ freŝa salutiga ŝlosilaro kun la bezonataj akreditaĵoj reentajpitaj. La dua opcio detruas konservitajn elementojn.
Ne restarigu la tutan ŝlosilaron ĉar unu VPN rifuzas malnovan akreditaĵon: tio forigas nerilatajn kontojn kaj ankoraŭ ne identigas la elementon.
Unu komando solvas la demandon loka kontraŭ fora. Petu la ŝlosilaron rekte pri la elemento:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUzu la servilon kaj konton el la agordoj de via kliento. Se la sama aproba folio aperas, kiam vi mem petas la ŝlosilaron, la instigo estas loka kaj la servilo estas spektanto. Se tia elemento ne ekzistas, la kliento ne konservas la pasvorton, kie vi supozis. La flago -g printas la sekreton al la terminalo, do evitu ekranan kunhavigon.
Ĝisdatigu la rikordon, kiun la kliento efektive legas
Se la konto ŝanĝiĝis ĉe la pordego, ŝanĝu ĝin unue tie, poste ĝisdatigu la konservitan rikordon per la agordoj de la kliento. Mane redakti ŝlosilaran elementon estas nefidinda: la kliento povas legi alian paron de servo kaj konto, kaj administrata profilo anstataŭigos vian redakton.
Por supoze malnova elemento, agordu servon, konton kaj protokolon antaŭ ol forigi ion:
security delete-generic-password -s "Client Name" -a [email protected]Forigi simile nomitan elementon de alia konekto estas ofta memfarita interrompo. Forigo estas nur loka: ĝi ne revokas seancaron ĉe la pordego, ne malligas aparatan atestilon, nek ŝanĝas la kontan pasvorton.
Konfirmu, ke la ripeto postvivas restartigon
Konektiĝu, vekiĝu el dormo, elsalutu kaj resalutu, poste restartigu unufoje. Pura sinsekvo sen folio kaj klienta stato nomanta la atendatan konton estas la sola pruvo, kiu gravas. Kie la instigo revenas, diras al vi, kiun tavolon vi maltrafis: post ĝisdatigo ĝi estas aprobo, post reta ŝanĝo la propra instigo de la kliento, post restartigo profilo reaplikanta staton.
Kontrolu en la kliento agordon memori pasvorton aŭ ĉiam demandi antaŭ ol tuŝi la ŝlosilaron denove. Iuj agordoj, precipe IKEv2 kun aŭtentigo por uzanto, demandas laŭdezajne ĉe ĉiu konekto; ŝlosilara riparo ne helpos.
Notu, kiun elementon vi ŝanĝis, kiu konservejo posedis ĝin kaj al kiu konto ĝi apartenis, por ke la sekva instigo lokiĝu en sekundoj. La paĝo de Apple Petoj pri ŝlosilara aliro estas la referenco pri tio, kion tiuj tri butonoj rajtigas.