Mac kysyy yhä uudelleen VPN-salasanaa: avainnippu vai tili?
Mac voi pyytää kirjautumisavainnipun salasanaa, ylläpitäjän salasanaa tai itse VPN-tiliä. Lue, kenen valintaikkuna on, ja korjaa oikea säilö.
Avaat Macin lukituksen, avaat VPN-asiakasohjelman, ja salasanalehti ilmestyy ennen kuin tunneli on edes alkanut. Kirjoitat yhdyskäytävän salasanan, ja se joko hylätään tai lehti palaa hetken kuluttua. Sitten se kysyy uudelleen unesta heräämisen, uloskirjautumisen tai asiakasohjelman päivityksen jälkeen. Se lehti on harvoin VPN-palvelin, joka pyytää tunnistetietoja; yleensä macOS pyytää lupaa lukea, avata tai muuttaa paikallista tietuetta, ja salasana kuuluu kyseisen tietueen omistajalle, ei VPN-tilillesi.
Sovita lehti sen takana olevaan identiteettiin
Neljä kehotetta näyttävät lähes samoilta, ja vain yksi koskee yhdyskäytävää. Sanamuoto, käyttöoikeutta pyytävä prosessi ja alla nimetty kohde kertovat, kumman kohtaat.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Paikallisesta käytöstä kertova valintaikkuna ei todista palvelimesta mitään. Yhdyskäytävän hylkäys näkyy asiakasohjelman sisällä toimittajan virhetekstillä, ei järjestelmälehtenä, joka tarjoaa avainnipun avaamista. Päinvastainen on yhtä tavallista: yhdyskäytävän salasanan kirjoittaminen avainnipun lehteen jättää tietueen lukituksi ja lisää epäonnistuneen yrityksen.
Valintaikkuna nimeää omistajan, säilön ja toiminnon
Avainnipun kehotteet koskevat hakemista, eivät tunnistautumista jotain etäistä kohtaan. Applen kuvaus pyyntövalintaikkunasta on kapea: Salli kerran, Salli aina ja Hylkää säätelevät, saako kyseinen sovellus lukea tallennetun kohteen. Mikään kolmesta ei myönnä oikeutta yhdyskäytävällä tai muuta sitä, mitä palvelin ajattelee salasanastasi.
Kun pyytäjä on juuri päivittynyt asiakasohjelma, uusi hyväksyntä on odotettavissa: uusi versio ei enää vastaa kohteen käyttöoikeusluetteloa, joten macOS kysyy uudelleen. Vastaa diagnosoidessasi Salli kerran. Salli aina on pysyvä lupa kyseiselle sovellukselle ja väärä vastaus apuprosessille, jota et odottanut; hylkää ja tarkista toimittajalta, jos binääri ei ole asentamasi asiakasohjelma.
Järjestelmänvalvojan valtuutusta pyytävä kehote on kolmas laji. Se nimeää muutettavan järjestelmäasetuksen tai suojatun säilön, ja se haluaa tämän Macin ylläpitäjätilin tunnistetiedot. Jokainen henkilökohtainen avainnipun kohde ei tarvitse sitä; verkkokokoonpanon takana olevat yleensä tarvitsevat, koska kokoonpano kuuluu järjestelmälle, ei kirjautumisistunnollesi.
Missä Macin VPN-salasana voi asua
Avainnippu on yksi mahdollinen säilö, ei säilön määritelmä. Järjestelmäasetuksissa luotu sisäänrakennettu VPN-kokoonpano pitää tunnistetietonsa verkkokokoonpanon yhteydessä hallittuna järjestelmäasetuksena. Kolmannen osapuolen asiakasohjelma pitää yleensä kohdetta kirjautumisavainnipussasi: yleinen salasana, jonka avain on palvelun nimi, tai internetsalasana, jonka avain on palvelin, protokolla ja tili. Monet uudemmat sovellukset käyttävät sen sijaan tietosuoja-avainnippua, jonka kohteet eivät koskaan näy Avainnipun käytössä.
Ihmiset etsivät Avainnipun käytöstä VPN:n nimeä, eivät löydä mitään ja päättelevät, ettei salasanaa ole tallennettu. Applen TN3137-muistio sanoo, että avainnipun toteutuksia on enemmän kuin yksi; puuttuminen siitä luettelosta on normaalia, ei todiste rikkinäisestä kohteesta.
Tietuetyypitkään eivät ole vaihdettavissa. Tilin salasana, yksityisavaimen salalause, asiakasvarmenne ja IPsecin jaettu salaisuus epäonnistuvat eri tavoin ja ne korjataan eri paikoissa; tallennetun salasanan uudelleen kirjoittaminen ei tee mitään hylätylle varmenteelle. Jos Mac on liitetty hallintaan, profiili on toinen omistaja: VPN-hyötykuorma voi kantaa tunnistetietoja ja soveltaa ne uudelleen päivityksessä, joten paikallisen kohteen poistaminen on väliaikaista, kunnes ylläpitäjä muuttaa sitä.
Kun kirjautumissalasana ja avainnipun salasana erkanevat
Kirjautumisavainnippu käyttää yleensä Macin kirjautumissalasanaasi, minkä vuoksi ne kaksi voivat erkaantua. Ylläpitäjän toisesta tilistä tekemä salasanan nollaus, palautusprosessi tai hakemistomuutos voi jättää avainnipun lukituksi vanhaan arvoon, ja silloin macOS kysyy salasanaa, jota et juuri asettanut.
Kirjautuessasi saatat nähdä varoituksen, ettei järjestelmä voinut avata avainnippua. Sen päivittäminen vaatii vanhan salasanan, mikä on hyvä jos muistat sen ja hyödytön jos et. Kaksi rehellistä korjausta ovat Avainnipun käyttö, Muokkaa, Vaihda avainnipun "login" salasana, tai uusi kirjautumisavainnippu, johon tarvittavat tunnistetiedot syötetään uudelleen. Toinen vaihtoehto tuhoaa tallennetut kohteet.
Älä nollaa koko avainnippua siksi, että yksi VPN hylkää vanhan tunnistetiedon: se poistaa aiheettomat tilit eikä silti tunnista kohdetta.
Yksi komento ratkaisee paikallisen ja etäisen kysymyksen. Kysy avainnipulta kohdetta suoraan:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gKäytä asiakasohjelmasi asetuksista palvelinta ja tiliä. Jos sama hyväksyntälehti ilmestyy, kun itse kysyt avainnipulta, kehote on paikallinen ja palvelin on sivustakatsoja. Jos sellaista kohdetta ei ole, asiakasohjelma ei tallenna salasanaa sinne, missä oletit. -g-lippu tulostaa salaisuuden päätteeseen, joten vältä näytön jakamista.
Päivitä tietue, jota asiakasohjelma todella lukee
Jos tili muuttui yhdyskäytävällä, muuta se ensin siellä ja päivitä sitten tallennettu tietue asiakasohjelman asetusten kautta. Avainnipun kohteen muokkaaminen käsin on epäluotettavaa: asiakasohjelma voi lukea toisen palvelu-tili-parin, ja hallittu profiili korvaa muokkauksesi.
Jos kohde epäillään vanhentuneeksi, sovita palvelu, tili ja protokolla ennen kuin poistat mitään:
security delete-generic-password -s "Client Name" -a [email protected]Samannimisen kohteen poistaminen toisesta yhteydestä on tavallinen itse aiheutettu katkos. Poisto on vain paikallinen: se ei peruuta istuntoa yhdyskäytävällä, ei irrota laitevarmennetta eikä muuta tilin salasanaa.
Varmista, että korjaus kestää uudelleenkäynnistyksen
Yhdistä, herää unesta, kirjaudu ulos ja takaisin sisään ja käynnistä sitten kerran uudelleen. Puhdas jakso ilman lehteä ja asiakasohjelman tila, joka nimeää odotetun tilin, on ainoa todiste, jolla on väliä. Missä kehote palaa, kertoo minkä kerroksen ohitit: päivityksen jälkeen se on hyväksyntä, verkkomuutoksen jälkeen asiakasohjelman oma kehote, uudelleenkäynnistyksen jälkeen profiili, joka soveltaa tilan uudelleen.
Tarkista asiakasohjelmasta salasanan muistaminen tai aina kysy -asetus ennen kuin kosket avainnippua uudelleen. Jotkin kokoonpanot, erityisesti käyttäjäkohtaisella todennuksella varustettu IKEv2, kysyvät suunnittelun mukaan joka yhteydellä; avainnipun korjaus ei auta.
Kirjoita muistiin, mitä kohdetta muutit, mikä säilö sen omisti ja mihin tiliin se kuului, jotta seuraava kehote paikantuu sekunneissa. Applen sivu Avainnipun käyttöpyynnöt on viite siitä, mitä ne kolme painiketta valtuuttavat.