Zergatik eskatzen dio zure Mac VPNak Keychain sarbidea aldiro
Zehaztu zein osagaik sortzen duen Mac VPNko abisu bakoitza, gelditu bikoiztutako konexio-saiakerak eta konpondu Keychain sarbidea llavero osoa berrezarri gabe.
Connect-en klik batek saio-hasierako leiho bat sortu beharko luke. Mac batean askotan hiru sortzen ditu, eta gutxitan partekatzen dute jabe bera: Keychain da tokiko kredentzialen abisuen jabea, VPN atebidea autentifikazioaren jabe da, eta bezeroa bere abisuen jabe. Dena isiltzen duen etengailu baten bila ibili beharrean, tratatu leiho bakoitza bere konponbidea duen akats bereizi gisa. Beheko gidariak konexio-saiakera deliberatu bat zeharkatzen du eta errepika dezakezun egiaztapen batekin amaitzen du.
Izena eman diezaiokegu elkarrizketa bakoitzaren jabeari ezarpen bat aldatu aurretik
Lehen urratsa kontabilitatea da, ez konfigurazioa. Egin konexio-saiakera bat eta, agertzen den leiho bakoitzerako, idatzi lau eremu: elkarrizketan agertzen den aplikazioaren izena, testu zehatza ezer sekreturik gabe, agertu zen fasea, eta bertan behera utzi zenuenean gertatu zena. Hiru errenkada horiek ikusi dudan txosten ia guztiak estaltzen dituzte.
Jabetzak erabakitzen du konponbide zuzena, eta konponbide okerra izaten da normalean abisu bat hiru bihurtzen duena:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Saiakera beraren barruan itzultzen den abisua seinale desberdina da hurrengo saiakeran itzultzen denarena baino. Lehenengoak esan nahi du konexioa zure azpian berrabiarazi zela; bigarrenak normalean gordetako kredentzial bat berriro eskatzen ari dela. Idatzi zein duzun Keychain ukitu aurretik, biok ia ezer ez baitute elkarrekin.
Ezagutu zenbat gauzak abiarazten duten tunela
Lau mekanismok abiaraz dezakete VPN bera Mac batean: menu-barrako ekintza batek, saio-hasierako elementu batek, On Demand arau batek eta script edo agente batek. Horietako bik su pizten dutenean, bigarren abiaraztea irits daiteke lehenak oraindik autentifikazioaren zain dagoen bitartean, eta horrek leiho bikoiztua eta aurrerapenik eza eragiten ditu. Zerrendatu lehenik zer dagoen konfiguratuta: scutil --nc list Sistemaren Ezarpenek ezagutzen dituzten VPN zerbitzuak inprimatzen ditu, haien uneko egoerarekin. Beren sare-luzapena dakarten bezeroek aplikazioaren barruan gordetzen dituzte profilak eta agian ez dira han agertuko, beraz, egiaztatu bezeroaren beraren konexio-zerrenda ere.
Ondoren, bilatu abiarazle lehiakideak. scutil --nc show "Work VPN" zerbitzu integratu baten konfigurazio-hiztegia inprimatzen du, On Demand arauak barne; interfazearen edozein aldaketatan berriro konektatzen duen arau batek tunela berrabiaraziko du — eta autentifikazio-abisua berriro irekiko du — Wi-Fi-a mugitzen den edo pantaila batek sare-pila esnatzen duen bakoitzean. Egiaztatu saio-hasierako elementuak Sistemaren Ezarpenak > Orokorra > Saio-hasierako elementuak atalean, eta zerrendatu erabiltzaile bakoitzeko agenteak honekin ls ~/Library/LaunchAgents. Utzi bakean MDM bidez kudeatutako segurtasun-pila baten jabetzakoa dena; kentzea hurrengo egiaztapenean itzultzen baita normalean.
Saiakera batean zer dabilen benetan ikusteko: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Bi bezero-laguntzaile bat espero duzun tokian "zergatik jaso ditut bi abisu" askoz ere sarriago azaltzen du kredentzialen edozein arazo baino.
Konpondu Keychain sarbidea Keychain berrezarri gabe
Abisua gordetako elementuaren sarbide-kontrol zerrendatik dator, ez VPN protokolotik. Elementu bakoitzak erregistratzen du zein aplikaziok irakur dezaketen galdetu gabe. Bezeroa eguneratu ondoren, galdetzen duen laguntzaileak beste izen edo sinadura bat izan dezake elementuak zaharrena oraindik zerrendatzen duen bitartean, beraz, macOS-ek berriro galdetzen du konexio bakoitzean. Laguntzaile berria elementu horretarako soilik onartzea da konponbide osoa; aplikazio guztiak onartzea ez da.
ACLa dela eta arrazoia VPNa ukitu gabe egiaztatu dezakezu: security find-generic-password -s "service-name" -g elementu bera irakurtzen du terminal batetik. Komando horrek abisua ere sortzen badu, elkarrizketa Keychainena da eta tunela abiarazle hutsa da. Apple-ren hiru botoien inguruko jarraibideak — Baimendu behin, Baimendu beti, Ukatu — merezi du behin irakurtzea, Ukatzeak egiten baitu abisua berehala itzultzea, hurrengo saiakeran beharrean.
Laguntzaile okerra onartu baduzu, ireki elementua Keychain Access-en, joan Access Control atalera eta kendu sarrera hori; hori da atzera-egitea. Saio-hasierako Keychain ezabatzeak, edo hura berreraikitzen duen konponketa-tresna exekutatzeak, erlazionatu gabeko pasahitzak ere botatzen ditu eta arazoa baino askoz aldaketa handiagoa da.
Eduki saio-hasierako eta politika-urratsak haien jabe diren fluxuetan
Nabigatzaileko saio-hasiera edo MFA erronka atebidearena da. Zure erakundeak saio-iraunkortasuna edo ziurtagirian oinarritutako autentifikazioa eskaintzen badu, erabili, hori baita gutxiagotan autentifikatzeko modu onartua. Kode finko bat bezeroan idazteak, edo pasahitz bat script batean gordetzeak abisua inoiz ager ez dadin, faktore interaktiboa sekretu estatiko batekin ordezkatzen du eta politika hurrengoan aldatzen denean huts egiten du.
Erakundearen abisuak dira itzali behar ez zenukeen kategoria bakarra. Normalean postura-egiaztapen bat edo erabilera onargarriaren onespena ezartzen dute, eta haiek ezkutatzeak gailua betetzeaz kanpo utz dezake tunela funtzionatzen ari den bitartean ere. Errore-elkarrizketak dira beste kategoria: gorde lehen errorearen testua, bigarren elkarrizketa sarritan berriro saiatu ondorengo porrot beraren berri ematea baita.
Egiaztatu saiakera batekin, eta berrabiarazi ondoren
Abiarazle bikoiztuak kenduta eta Keychain sarrera konponduta, egin saiakera bakarra: itxi bezero-instantzia guztiak, menu-barrako laguntzailea barne, konektatu behin, eta zenbatu leihoak. Keychain onarpena nahi duzu, elementua berreraiki bada, eta autentifikazio-urrats bat. Ez gehiago. scutil --nc status "Work VPN" zerbitzu integratu baterako Connected jakinarazi beharko luke.
Gero berrabiarazi behin eta errepikatu. Berrabiarazi ondoren soilik itzultzen den abisuak saio-hasierako elementu edo On Demand arau bat adierazten du, ez kredentzialak; saioaren barruan itzultzen denak ACL edo bigarren abiarazle bat adierazten du. Bi paseen ondoren oraindik errepikatzen bada, zure administratzaileari eman beharreko gauza erabilgarria lehen saiakerako hiru errenkadako taula da — jabea, testu zehatza, fasea — ez elkarrizketaren pantaila-argazki bat.
Helburua abisu gutxiago da, ez isilak. Bere autorizazio-urratsak ezkutatzen dituen konexioa ezin duzu gehiago auditatu, eta hurrengo ziurtagiri-biraketak zein osagai ari den huts egiten jakin gabe aurkituko zaitu.