Miksi Mac-VPN kysyy Keychain-käyttöoikeutta joka kerta
Selvitä, mikä komponentti nostaa kunkin Mac-VPN-kehotteen, pysäytä päällekkäiset yhteysyritykset ja korjaa Keychain-käyttöoikeus nollaamatta koko avainnippua.
Yksi napsautus Connect-painikkeessa tuottaisi yhden kirjautumisikkunan. Macilla se tuottaa usein kolme, ja ne jakavat harvoin omistajan: avainnippu omistaa paikalliset tunnistetietokehotteet, VPN-yhdyskäytävä omistaa todennuksen ja asiakasohjelma omat ilmoituksensa. Sen sijaan että etsisit kytkintä, joka vaientaa kaiken, kohtele jokaista ikkunaa erillisenä vikana, jolla on oma korjauksensa. Alla oleva ohje käy läpi yhden tarkoituksellisen yhteysyrityksen ja päättyy tarkistukseen, jonka voit toistaa.
Nimeä jokaisen valintaikkunan omistaja ennen asetuksen muuttamista
Ensimmäinen vaihe on kirjanpito, ei määritys. Tee yksi yhteysyritys ja kirjaa jokaisesta ilmestyvästä ikkunasta neljä kenttää: valintaikkunassa näkyvä sovelluksen nimi, tarkka teksti ilman mitään salaista, vaihe jossa se ilmestyi, ja mitä tapahtui kun peruutit sen. Kolme tällaista riviä kattaa lähes jokaisen raportin, jota olen katsonut.
Omistajuus ratkaisee oikean korjauksen, ja väärä korjaus on yleensä se, mikä muuttaa yhden kehotteen kolmeksi:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Kehote, joka palaa saman yrityksen aikana, on eri signaali kuin se, joka palaa seuraavalla yrityksellä. Ensimmäinen tarkoittaa yleensä, että yhteys käynnistettiin uudelleen altasi; toinen tarkoittaa yleensä, että tallennettua tunnistetietoa kysytään uudelleen. Merkitse muistiin, kumpi sinulla on, ennen kuin kosket avainnippuun, koska näillä kahdella ei ole juuri mitään yhteistä.
Selvitä, kuinka moni asia käynnistää tunnelin
Neljä mekanismia voi käynnistää saman VPN:n Macilla: valikkopalkin toiminto, kirjautumiskohde, On Demand -sääntö sekä komentosarja tai agentti. Kun kaksi niistä laukeaa, toinen käynnistys voi saapua, kun ensimmäinen vielä odottaa todennusta, mikä tuottaa päällekkäisen ikkunan eikä edistystä. Luettele ensin, mikä on määritetty: scutil --nc list tulostaa Järjestelmäasetusten tuntemat VPN-palvelut ja niiden nykyisen tilan. Asiakasohjelmat, jotka toimittavat oman verkkolaajennuksensa, pitävät profiilit sovelluksen sisällä eivätkä välttämättä näy siellä, joten tarkista myös asiakasohjelman oma yhteysluettelo.
Etsi sitten kilpailevia käynnistäjiä. scutil --nc show "Work VPN" tulostaa sisäänrakennetun palvelun määrityssanakirjan, mukaan lukien On Demand -säännöt; sääntö, joka yhdistää uudelleen jokaisesta liittymän muutoksesta, käynnistää tunnelin uudelleen — ja avaa todennuskehotteen uudelleen — joka kerta kun Wi-Fi siirtyy tai näyttö herättää verkkopinon. Tarkista kirjautumiskohteet kohdasta Järjestelmäasetukset > Yleiset > Kirjautumiskohteet ja luettele käyttäjäkohtaiset agentit komennolla ls ~/Library/LaunchAgents. Jätä rauhaan kaikki, mikä kuuluu MDM-hallittuun tietoturvapinoon; sen poistaminen työnnetään yleensä takaisin seuraavassa tarkistuksessa.
Nähdäksesi, mitä yrityksen aikana todella on käynnissä: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Kaksi asiakasohjelman apuprosessia siellä, missä odotat yhtä, selittää "miksi sain kaksi kehotetta" paljon useammin kuin mikään tunnistetieto-ongelma.
Korjaa avainnipun käyttöoikeus nollaamatta avainnippua
Kehote tulee tallennetun kohteen käyttöoikeusluettelosta, ei VPN-protokollasta. Jokainen kohde kirjaa, mitkä sovellukset saavat lukea sen kysymättä. Asiakasohjelman päivityksen jälkeen kysyvä apuprosessi voi kantaa eri nimeä tai allekirjoitusta, kun kohde yhä luettelee vanhan, joten macOS kysyy uudelleen joka yhteydellä. Uuden apuprosessin hyväksyminen juuri sille yhdelle kohteelle on koko korjaus; jokaisen sovelluksen hyväksyminen ei ole.
Voit vahvistaa, että ACL on syy, koskematta VPN:ään: security find-generic-password -s "service-name" -g lukee saman kohteen päätteeltä. Jos se komento nostaa myös kehotteen, valintaikkuna kuuluu avainnipulle ja tunneli on vain laukaisin. Applen ohjeet kolmesta painikkeesta — Salli kerran, Salli aina, Hylkää — kannattaa lukea kerran, koska Hylkää on se, mikä saa kehotteen palaamaan heti eikä vasta seuraavalla yrityksellä.
Jos hyväksyit väärän apuprosessin, avaa kohde Keychain Accessissa, vaihda Access Control -välilehdelle ja poista se merkintä; se on palautus. Kirjautumisavainnipun poistaminen tai sen uudelleenrakentavan korjaustyökalun ajaminen hylkää myös asiaankuulumattomat salasanat ja on paljon suurempi muutos kuin ongelma.
Pidä kirjautumis- ja käytäntövaiheet niitä omistavissa kulkuvirroissa
Selaimen kirjautuminen tai MFA-haaste kuuluu yhdyskäytävälle. Jos organisaatiosi tarjoaa istunnon pysyvyyttä tai varmenneperusteista todennusta, käytä sitä, koska se on tuettu tapa todennus harvemmin. Kiinteän koodin kirjoittaminen asiakasohjelmaan tai salasanan tallentaminen komentosarjaan, jotta kehote ei koskaan ilmesty, korvaa vuorovaikutteisen tekijän staattisella salaisuudella ja epäonnistuu seuraavan käytäntökierron aikana.
Organisaation ilmoitukset ovat ainoa luokka, jota sinun ei pitäisi vaientaa. Ne yleensä pakottavat asennon tarkistuksen tai hyväksyttävän käytön vahvistuksen, ja niiden piilottaminen voi viedä laitteen vaatimusten ulkopuolelle, vaikka tunneli toimisi. Virheikkunat ovat toinen luokka: säilytä ensimmäisen virheen teksti, koska toinen ikkuna on usein vain sama epäonnistuminen uuden yrityksen jälkeen.
Tarkista yhdellä yrityksellä ja sitten uudelleenkäynnistyksen jälkeen
Kun päällekkäiset käynnistäjät on poistettu ja avainnipun merkintä korjattu, tee yksi yritys: sulje jokainen asiakasohjelman esiintymä mukaan lukien valikkopalkin apuprosessi, yhdistä kerran ja laske ikkunat. Haluat avainnipun hyväksynnän, jos kohde rakennettiin uudelleen, ja yhden todennusvaiheen. Ei mitään muuta. scutil --nc status "Work VPN" pitäisi raportoida Connected sisäänrakennetulle palvelulle.
Käynnistä sitten kerran uudelleen ja toista. Kehote, joka palaa vain uudelleenkäynnistyksen jälkeen, viittaa kirjautumiskohteeseen tai On Demand -sääntöön, ei tunnistetietoihin; istunnon sisällä palaava viittaa ACL:ään tai toiseen käynnistäjään. Jos se toistuu vielä molempien kierrosten jälkeen, hyödyllinen asia, jonka voit antaa järjestelmänvalvojallesi, on ensimmäisen yrityksen kolmirivinen taulukko — omistaja, tarkka teksti, vaihe — ei kuvakaappausta valintaikkunasta.
Tavoite on vähemmän kehotteita, ei äänettömiä. Yhteys, joka piilottaa valtuutusvaiheensa, on yhteys, jota et enää voi auditoida, ja seuraava varmennekierto löytää sinut tietämättä, mikä komponentti epäonnistuu.