Miks sinu Maci VPN küsib igal korral Keychaini juurdepääsu
Tehke kindlaks, milline komponent tekitab iga Maci VPN-i küsimuse, peatage topeltühenduse katsed ja parandage Keychaini juurdepääs kogu võtmehoidlat lähtestamata.
Üks klõps nupul Connect peaks andma ühe sisselogimisakna. Macis annab see sageli kolm ja neil on harva sama omanik: kohalikud mandaatide küsimused kuuluvad võtmehoidlale, VPN-lüüsile kuulub autentimine ja kliendile tema enda teated. Selle asemel, et otsida lülitit, mis kõik vaigistab, käsitlege iga akent eraldi defektina, millel on oma parandus. Allolev juhend läbib ühe sihiliku ühenduskatse ja lõpeb kontrolliga, mida saate korrata.
Nimetage iga dialoogi omanik enne seade muutmist
Esimene samm on arvepidamine, mitte seadistamine. Tehke üks ühenduskatse ja kirjutage iga ilmuva akna kohta üles neli välja: dialoogis näidatud rakenduse nimi, täpne tekst ilma millegi salajaseta, faas, milles see ilmus, ja mis juhtus, kui te selle tühistasite. Kolm sellist rida katavad peaaegu iga raporti, mida ma näinud olen.
Omandiõigus määrab õige paranduse ja vale parandus on tavaliselt see, mis muudab ühe küsimuse kolmeks:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Küsimus, mis naaseb sama katse jooksul, on teistsugune signaal kui see, mis naaseb järgmisel katsel. Esimene tähendab tavaliselt, et ühendus taaskäivitati teie all; teine tähendab tavaliselt, et küsitakse uuesti salvestatud mandaati. Märkige üles, kumb teil on, enne kui võtmehoidlat puudutate, sest neil kahel pole peaaegu midagi ühist.
Uurige, kui palju asju tunnelit käivitab
Macis võivad sama VPN-i käivitada neli mehhanismi: menüüriba toiming, sisselogimisüksus, On Demand-reegel ning skript või agent. Kui kaks neist vallanduvad, võib teine käivitus saabuda, kui esimene veel autentimist ootab, mis tekitab topeltakna ja ei mingit edenemist. Loetlege esmalt, mis on seadistatud: scutil --nc list prindib VPN-teenused, mida Süsteemiseaded teavad, koos nende praeguse olekuga. Kliendid, kes tarnivad oma võrgulaiendi, hoiavad profiile rakenduse sees ja ei pruugi seal ilmuda, seega kontrollige ka kliendi enda ühenduste loendit.
Seejärel otsige konkureerivaid käivitajaid. scutil --nc show "Work VPN" prindib sisseehitatud teenuse konfiguratsioonisõnastiku, sealhulgas On Demand-reeglid; reegel, mis ühendub uuesti iga liidese muutuse korral, taaskäivitab tunneli — ja avab autentimisküsimuse uuesti — iga kord, kui Wi-Fi rändab või ekraan äratab võrgupinu. Kontrollige sisselogimisüksusi jaotises Süsteemiseaded > Üldine > Sisselogimisüksused ja loetlege kasutajapõhised agendid käsuga ls ~/Library/LaunchAgents. Jätke puutumata kõik, mis kuulub MDM-hallatavale turbepinule; selle eemaldamine lükatakse tavaliselt järgmisel kontrollil tagasi.
Et näha, mis katse ajal tegelikult töötab: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Kaks kliendiabilist seal, kus ootate ühte, selgitavad „miks ma sain kaks küsimust“ palju sagedamini kui ükskõik milline mandaadiprobleem.
Parandage võtmehoidla juurdepääs võtmehoidlat lähtestamata
Küsimus tuleb salvestatud üksuse juurdepääsukontrolli loendist, mitte VPN-protokollist. Iga üksus registreerib, millised rakendused tohivad seda ilma küsimata lugeda. Pärast kliendi uuendust võib küsiv abiline kanda teistsugust nime või allkirja, samal ajal kui üksus loetleb veel vana, seega macOS küsib igal ühendusel uuesti. Uue abilise kinnitamine just selle ühe üksuse jaoks on kogu parandus; iga rakenduse kinnitamine seda ei ole.
Saate kinnitada, et põhjus on ACL, VPN-i puutumata: security find-generic-password -s "service-name" -g loeb sama üksust terminalist. Kui see käsk tekitab samuti küsimuse, kuulub dialoog võtmehoidlale ja tunnel on ainult päästik. Apple'i juhised kolme nupu kohta — Lubage üks kord, Lubage alati, Keeldu — tasub üks kord lugeda, sest Keeldumine on see, mis paneb küsimuse kohe tagasi tulema, mitte järgmisel katsel.
Kui kinnitasite vale abilise, avage üksus Keychain Accessis, lülituge jaotisele Access Control ja eemaldage see kirje; see on tagasipööramine. Sisselogimisvõtmehoidla kustutamine või selle ümberehitava parandustööriista käivitamine viskab ära ka seostamata paroolid ja on probleemist palju suurem muudatus.
Hoidke sisselogimis- ja poliitikasammud voogudes, millele need kuuluvad
Brauserisisselogimine või MFA-väljakutse kuulub lüüsile. Kui teie organisatsioon pakub seansi püsivust või sertifikaadipõhist autentimist, kasutage seda, sest see on toetatud viis autentida harvemini. Fikseeritud koodi kliendisse tippimine või parooli skripti salvestamine, et küsimus ei ilmuks kunagi, asendab interaktiivse faktori staatilise saladusega ja ebaõnnestub järgmisel poliitika vahetusel.
Organisatsiooni teated on ainus kategooria, mida ei tohiks summutada. Need kehtestavad tavaliselt seisundi kontrolli või lubatud kasutuse kinnituse, ja nende peitmine võib viia seadme vastavusest välja ka siis, kui tunnel töötab. Veateated on teine kategooria: hoidke esimese vea tekst, sest teine dialoog on sageli sama tõrge, millest teatatakse pärast korduskatset.
Kontrollige ühe katsega, seejärel pärast taaskäivitust
Kui topeltkäivitajad on eemaldatud ja võtmehoidla kirje parandatud, tehke üks katse: sulgege iga kliendi eksemplar, sealhulgas menüüriba abiline, ühenduge üks kord ja loendage aknad. Soovite võtmehoidla kinnitust, kui üksus ehitati uuesti, ja ühte autentimissammu. Ei midagi enamat. scutil --nc status "Work VPN" peaks sisseehitatud teenuse puhul teatama Connected.
Seejärel taaskäivitage üks kord ja korrake. Küsimus, mis naaseb alles pärast taaskäivitust, osutab sisselogimisüksusele või On Demand-reeglile, mitte mandaatidele; seespool seanssi naasev osutab ACL-ile või teisele käivitajale. Kui see kordub ka pärast mõlemat läbimist, on administraatorile anda kasulik kolme reaga tabel esimesest katsest — omanik, täpne tekst, faas —, mitte dialoogi ekraanipilt.
Eesmärk on vähem küsimusi, mitte vaikivad. Ühendus, mis varjab oma volitamissamme, on ühendus, mida te enam auditeerida ei saa, ja järgmine sertifikaadirotatsioon leiab teid ilma aimugi, milline komponent ebaõnnestub.