چرا VPN مک شما هر بار دسترسی Keychain می‌خواهد
مشخص کنید کدام مؤلفه هر اعلان VPN را در مک ایجاد می‌کند، تلاش‌های اتصال تکراری را متوقف کنید و دسترسی Keychain را بدون بازنشانی کل جاکلیدی درست کنید.
یک کلیک روی Connect باید یک پنجره ورود تولید کند. در مک اغلب سه پنجره تولید می‌کند و به‌ندرت مالک یکسانی دارند: جاکلیدی مالک درخواست‌های اعتبارنامه محلی است، دروازه VPN مالک احراز هویت است و کلاینت مالک اعلان‌های خودش. به‌جای جست‌وجوی کلیدی که همه‌چیز را خاموش کند، هر پنجره را نقصی جداگانه با راه‌حل خودش بدانید. راهنمای زیر یک تلاش اتصال عمدی را طی می‌کند و با بررسی‌ای پایان می‌یابد که می‌توانید تکرار کنید.
پیش از تغییر هر تنظیمی، مالک هر پنجره را نام‌گذاری کنید
گام اول حسابداری است، نه پیکربندی. یک تلاش اتصال انجام دهید و برای هر پنجره‌ای که ظاهر می‌شود چهار فیلد بنویسید: نام برنامه در پنجره، متن دقیق بدون هیچ چیز محرمانه، مرحله‌ای که در آن ظاهر شد و آنچه هنگام لغو آن رخ داد. سه سطر همین‌گونه تقریباً هر گزارشی را که دیده‌ام پوشش می‌دهد.
مالکیت راه‌حل درست را تعیین می‌کند، و راه‌حل نادرست معمولاً همان چیزی است که یک اعلان را به سه اعلان تبدیل می‌کند:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
اعلانی که در همان تلاش بازمی‌گردد نشانه‌ای متفاوت از اعلانی است که در تلاش بعدی بازمی‌گردد. اولی معمولاً یعنی اتصال زیر پای شما دوباره راه‌اندازی شده است؛ دومی معمولاً یعنی اعتبارنامه ذخیره‌شده دوباره خواسته می‌شود. پیش از دست‌زدن به جاکلیدی یادداشت کنید کدام‌یک را دارید، چون این دو تقریباً هیچ اشتراکی ندارند.
بفهمید چند چیز تونل را راه می‌اندازند
چهار سازوکار می‌توانند همان VPN را در مک راه‌اندازی کنند: اقدامی در نوار منو، یک آیتم ورود، قاعده On Demand، و یک اسکریپت یا عامل. وقتی دو مورد از آن‌ها فعال شوند، شروع دوم ممکن است وقتی برسد که اولی هنوز منتظر احراز هویت است، که پنجره تکراری و بدون پیشرفت تولید می‌کند. نخست فهرست کنید چه چیزی پیکربندی شده است: scutil --nc list سرویس‌های VPN شناخته‌شده برای تنظیمات سیستم را با وضعیت فعلی آن‌ها چاپ می‌کند. کلاینت‌هایی که افزونه شبکه خودشان را همراه دارند پروفایل‌ها را داخل برنامه نگه می‌دارند و ممکن است آنجا ظاهر نشوند، پس فهرست اتصال‌های خود کلاینت را هم بررسی کنید.
سپس به دنبال راه‌اندازهای رقیب بگردید. scutil --nc show "Work VPN" فرهنگ پیکربندی یک سرویس داخلی را چاپ می‌کند، از جمله قواعد On Demand؛ قاعده‌ای که با هر تغییر رابط دوباره وصل می‌شود، تونل را دوباره راه‌اندازی می‌کند — و اعلان احراز هویت را باز می‌کند — هر بار که Wi-Fi جابه‌جا شود یا صفحه‌ای پشته شبکه را بیدار کند. آیتم‌های ورود را زیر تنظیمات سیستم > عمومی > آیتم‌های ورود بررسی کنید و عامل‌های هر کاربر را با این دستور فهرست کنید ls ~/Library/LaunchAgents. چیزی را که مالک پشته امنیتی مدیریت‌شده با MDM است رها کنید؛ حذف آن معمولاً در بررسی بعدی برمی‌گردد.
برای دیدن آنچه واقعاً در طول یک تلاش اجرا می‌شود: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. دو کمک‌یار کلاینت جایی که یکی انتظار دارید، «چرا دو اعلان گرفتم» را بسیار بیشتر از هر مشکل اعتبارنامه توضیح می‌دهد.
دسترسی جاکلیدی را بدون بازنشانی جاکلیدی درست کنید
اعلان از فهرست کنترل دسترسی آیتم ذخیره‌شده می‌آید، نه از پروتکل VPN. هر آیتم ثبت می‌کند کدام برنامه‌ها می‌توانند بدون پرسش آن را بخوانند. پس از به‌روزرسانی کلاینت، کمک‌یاری که می‌پرسد ممکن است نام یا امضای متفاوتی داشته باشد در حالی که آیتم هنوز قدیمی را فهرست می‌کند، بنابراین macOS در هر اتصال دوباره می‌پرسد. تأیید کمک‌یار جدید برای همان یک آیتم تمام راه‌حل است؛ تأیید همه برنامه‌ها نیست.
می‌توانید بدون دست‌زدن به VPN تأیید کنید که ACL علت است: security find-generic-password -s "service-name" -g همان آیتم را از ترمینال می‌خواند. اگر آن دستور هم اعلان را ایجاد کند، پنجره متعلق به جاکلیدی است و تونل فقط محرک است. راهنمای Apple درباره سه دکمه — یک‌بار اجازه دادن، همیشه اجازه دادن، رد کردن — ارزش یک بار خواندن را دارد، چون رد کردن همان چیزی است که اعلان را فوراً بازمی‌گرداند نه در تلاش بعدی.
اگر کمک‌یار اشتباه را تأیید کردید، آیتم را در Keychain Access باز کنید، به Access Control بروید و آن ورودی را حذف کنید؛ همان بازگردانی است. حذف جاکلیدی ورود، یا اجرای ابزار تعمیری که آن را بازسازی کند، گذرواژه‌های نامرتبط را هم دور می‌ریزد و تغییری بسیار بزرگ‌تر از مشکل است.
گام‌های ورود و خط‌مشی را در جریان‌هایی که مالک آن‌ها هستند نگه دارید
ورود از مرورگر یا چالش MFA متعلق به دروازه است. اگر سازمان شما تداوم نشست یا احراز هویت مبتنی بر گواهی ارائه می‌دهد، از آن استفاده کنید، چون روش پشتیبانی‌شده برای کمتر احراز هویت کردن همین است. تایپ کد ثابت در کلاینت، یا ذخیره گذرواژه در اسکریپت تا اعلان هرگز ظاهر نشود، یک عامل تعاملی را با راز ایستا جایگزین می‌کند و بار بعد که خط‌مشی تغییر کند شکست می‌خورد.
اعلان‌های سازمان تنها مقوله‌ای هستند که نباید سرکوب کنید. آن‌ها معمولاً بررسی وضعیت یا تأیید استفاده قابل‌قبول را اعمال می‌کنند و پنهان کردنشان می‌تواند دستگاه را حتی وقتی تونل کار می‌کند از انطباق خارج کند. پنجره‌های خطا مقوله دیگرند: متن نخستین خطا را نگه دارید، چون پنجره دوم غالباً همان شکست است که پس از تلاش دوباره گزارش می‌شود.
با یک تلاش بررسی کنید، سپس پس از راه‌اندازی مجدد
پس از حذف راه‌اندازهای تکراری و تعمیر ورودی جاکلیدی، یک تلاش انجام دهید: هر نمونه کلاینت از جمله کمک‌یار نوار منو را ببندید، یک بار وصل شوید و پنجره‌ها را بشمارید. تأیید جاکلیدی، اگر آیتم بازسازی شده باشد، و یک گام احراز هویت می‌خواهید. نه بیشتر. scutil --nc status "Work VPN" باید برای یک سرویس داخلی Connected گزارش کند.
سپس یک بار راه‌اندازی مجدد کنید و تکرار کنید. اعلانی که فقط پس از راه‌اندازی مجدد بازمی‌گردد به یک آیتم ورود یا قاعده On Demand اشاره دارد، نه به اعتبارنامه؛ اعلانی که درون نشست بازمی‌گردد به ACL یا به راه‌انداز دومی اشاره دارد. اگر پس از هر دو دور هنوز تکرار شد، چیز مفیدی که به مدیر خود بدهید جدول سه‌سطری از نخستین تلاش است — مالک، متن دقیق، مرحله — نه تصویری از پنجره.
هدف اعلان‌های کمتر است، نه اعلان‌های خاموش. اتصالی که گام‌های مجوزدهی خود را پنهان می‌کند اتصالی است که دیگر نمی‌توانید بررسی کنید، و چرخش گواهی بعدی شما را بی‌آنکه بدانید کدام مؤلفه شکست می‌خورد خواهد یافت.