Mac küsib ikka ja jälle VPN-i parooli: võtmehoidla või konto?
Mac võib küsida sisselogimise võtmehoidla parooli, administraatori parooli või VPN-i kontot ennast. Lugege, kellele dialoog kuulub, ja parandage õige hoidla.
Avaled Maci, avad VPN-i kliendi ja paroolileht ilmub enne, kui tunnel ongi alanud. Sisestad lüüsi parooli ja see kas lükatakse tagasi või naaseb leht hetk hiljem. Seejärel küsib see uuesti pärast unest ärkamist, väljalogimist või kliendi uuendust. See leht on harva VPN-i server, mis küsib mandaate; tavaliselt küsib macOS luba kohaliku kirje lugemiseks, avamiseks või muutmiseks ja parool kuulub selle kirje omanikule, mitte sinu VPN-i kontole.
Sovita leht selle taga oleva identiteediga
Neli viipa näevad peaaegu identsed välja ja ainult üks puudutab lüüsi. Sõnastus, juurdepääsu küsiv protsess ja allpool nimetatud üksus ütlevad, millisega silmitsi oled.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialoog kohaliku juurdepääsu kohta ei tõesta serveri kohta midagi. Lüüsi tagasilükkamine ilmub kliendi sees tarnija veatekstiga, mitte süsteemilehena, mis pakub võtmehoidla avamist. Vastupidine on sama tavaline: lüüsi parooli sisestamine võtmehoidla lehele jätab kirje lukustatuks ja lisab ebaõnnestunud katse.
Dialoog nimetab omanikku, hoidlat ja toimingut
Võtmehoidla viibad puudutavad hankimist, mitte autentimist millegi kaugema vastu. Apple'i kirjeldus päringudialoogi kohta on kitsas: Luba üks kord, Luba alati ja Keeldu kontrollivad, kas see rakendus tohib salvestatud üksust lugeda. Ükski kolmest ei anna lüüsis õigust ega muuda seda, mida server sinu paroolist arvab.
Kui taotleja on äsja uuendatud klient, on uus kinnitus ootuspärane: uus versioon ei vasta enam üksuse juurdepääsukontrolli loendile, seega macOS küsib uuesti. Diagnoosimise ajal vasta Luba üks kord. Luba alati on alaline luba sellele rakendusele ja vale vastus abiprotsessile, mida sa ei oodanud; keeldu ja kontrolli tarnijat, kui binaarfail ei ole klient, mille installisid.
Administraatori volitust küsiv viip on kolmas liik. See nimetab muudetavat süsteemiseadet või kaitstud hoidlat ja vajab selle Maci administraatorikontot. Iga isiklik võtmehoidla üksus ei vaja seda; võrgukonfiguratsiooni taga olevad tavaliselt vajavad, sest konfiguratsioon kuulub süsteemile, mitte sinu sisselogimisseansile.
Kus Maci VPN-i parool saab asuda
Võtmehoidla on üks võimalik hoidla, mitte hoidla määratlus. Süsteemiseadetes loodud sisseehitatud VPN-i konfiguratsioon hoiab oma mandaate võrgukonfiguratsiooni juures hallatava süsteemiseadena. Kolmanda osapoole klient hoiab tavaliselt üksust sinu sisselogimise võtmehoidlas: üldine parool, mille võti on teenuse nimi, või internetiparool, mille võti on server, protokoll ja konto. Paljud uuemad rakendused kasutavad selle asemel andmekaitse võtmehoidlat, mille üksused ei ilmu kunagi Võtmehoidla ligipääsus.
Inimesed otsivad Võtmehoidla ligipääsus VPN-i nime, ei leia midagi ja järeldavad, et parool ei ole salvestatud. Apple'i TN3137 märkus ütleb, et võtmehoidla teostusi on rohkem kui üks; puudumine sellest loendist on normaalne, mitte katkise üksuse tõestus.
Ka kirjetüübid ei ole vahetatavad. Konto parool, privaatvõtme paroolifraas, kliendi sertifikaat ja IPsec ühine saladus ebaõnnestuvad erinevalt ja neid parandatakse eri kohtades; salvestatud parooli uuesti sisestamine ei tee tagasilükatud sertifikaadi jaoks midagi. Kui Mac on haldusesse registreeritud, on profiil veel üks omanik: VPN-i koormus võib kanda mandaate ja need värskendamisel uuesti rakendada, seega on kohaliku üksuse kustutamine ajutine, kuni administraator seda muudab.
Kui sisselogimisparool ja võtmehoidla parool lahku lähevad
Sisselogimise võtmehoidla kasutab tavaliselt sinu Maci sisselogimisparooli ja seetõttu võivad need kaks lahku minna. Administraator, kes lähtestab sinu parooli teisest kontost, taastamisvoog või kataloogimuudatus võivad jätta võtmehoidla vana väärtuse külge lukustatuks ja siis küsib macOS parooli, mida sa just ei seadnud.
Sisselogimisel võid näha hoiatust, et süsteem ei suutnud võtmehoidlat avada. Selle uuendamiseks on vaja vana parooli, mis on hea, kui see meeles püsib, ja kasutu, kui ei. Kaks ausat parandust on Võtmehoidla ligipääs, Redigeeri, Muuda võtmehoidla "login" parooli, või uus sisselogimise võtmehoidla, kuhu sisestad vajalikud mandaadid uuesti. Teine valik hävitab salvestatud üksused.
Ära lähtesta kogu võtmehoidlat, sest üks VPN lükkab tagasi vana mandaadi: see eemaldab seotud kontod ja ei tuvasta üksust ikkagi.
Üks käsk lahendab kohaliku ja kaugema küsimuse. Küsi võtmehoidlalt üksust otse:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gKasuta serverit ja kontot oma kliendi seadetest. Kui sama kinnitusleht ilmub siis, kui ise võtmehoidlalt küsid, on viip kohalik ja server on kõrvaltvaataja. Kui sellist üksust ei ole, ei salvesta klient parooli sinna, kuhu eeldasid. Lipp -g prindib saladuse terminali, seega väldi ekraani jagamist.
Uuenda kirjet, mida klient tegelikult loeb
Kui konto muutus lüüsis, muuda see enne seal ja seejärel uuenda salvestatud kirjet kliendi seadete kaudu. Võtmehoidla üksuse käsitsi redigeerimine on ebausaldusväärne: klient võib lugeda teist teenuse ja konto paari ning hallatav profiil kirjutab sinu muudatuse üle.
Kahtlaselt vananenud üksuse puhul sobi teenus, konto ja protokoll enne millegi kustutamist:
security delete-generic-password -s "Client Name" -a [email protected]Sarnase nimega üksuse kustutamine teisest ühendusest on tavaline ise tekitatud katkestus. Eemaldamine on ainult kohalik: see ei tühista lüüsis seanssi, ei vabasta seadme sertifikaati ega muuda konto parooli.
Kinnita, et parandus peab taaskäivitusele vastu
Ühenda, ärka unest, logi välja ja uuesti sisse, seejärel taaskäivita korra. Puhas jada ilma leheta ja kliendi olek, mis nimetab oodatud kontot, on ainus tõestus, mis loeb. Koht, kus viip naaseb, ütleb, millise kihi vahele jätsid: uuenduse järel on see kinnitus, võrgu muutuse järel kliendi enda viip, taaskäivituse järel profiil, mis olekut uuesti rakendab.
Kontrolli kliendist parooli meelespidamise või alati küsimise seadet enne, kui võtmehoidlat uuesti puudutad. Mõned konfiguratsioonid, eriti IKEv2 kasutajapõhise autentimisega, küsivad disaini järgi igal ühendusel; võtmehoidla parandus ei aita.
Pane kirja, millist üksust muutsid, milline hoidla seda omas ja millisesse kontosse see kuulus, et järgmine viip paigutuks sekunditega. Apple'i leht Võtmehoidla juurdepääsutaotlused on viide selle kohta, mida need kolm nuppu lubavad.