Le Mac demande sans cesse le mot de passe VPN : trousseau ou compte ?

Vous déverrouillez le Mac, ouvrez le client VPN, et une feuille de mot de passe apparaît avant même que le tunnel ait démarré. Vous saisissez le mot de passe de la passerelle, et soit il est refusé, soit la feuille revient un instant plus tard. Puis elle redemande après une sortie de veille, une déconnexion ou une mise à jour du client. Cette feuille est rarement le serveur VPN qui réclame des identifiants ; le plus souvent, macOS demande l'autorisation de lire, de déverrouiller ou de modifier un enregistrement local, et le mot de passe appartient au propriétaire de cet enregistrement, pas à votre compte VPN.

Associez la feuille à l'identité qui se cache derrière

Quatre invites se ressemblent presque et une seule concerne la passerelle. La formulation, le processus qui demande l'accès et l'élément nommé en dessous vous disent laquelle vous avez devant vous.

Une boîte de dialogue sur l'accès local ne prouve rien sur le serveur. Un refus de la passerelle apparaît dans le client avec le texte d'erreur de l'éditeur, pas comme une feuille système proposant de déverrouiller un trousseau. L'inverse est tout aussi courant : saisir le mot de passe de la passerelle dans une feuille de trousseau laisse l'enregistrement verrouillé et ajoute une tentative échouée.

La boîte de dialogue nomme un propriétaire, un magasin et une action

Les invites du trousseau portent sur la récupération, pas sur l'authentification auprès de quelque chose de distant. La description d'Apple de la boîte de dialogue de demande est étroite : Autoriser une fois, Toujours autoriser et Refuser contrôlent si cette app peut lire l'élément stocké. Aucune des trois n'accorde de privilège sur la passerelle ni ne change ce que le serveur pense de votre mot de passe.

Quand le demandeur est un client qui vient d'être mis à jour, une nouvelle approbation est attendue : la nouvelle version ne correspond plus à la liste de contrôle d'accès de l'élément, donc macOS redemande. Répondez Autoriser une fois pendant le diagnostic. Toujours autoriser est une autorisation permanente pour cette app et la mauvaise réponse pour un processus auxiliaire que vous n'attendiez pas ; refusez et vérifiez auprès de l'éditeur si le binaire n'est pas le client que vous avez installé.

Une invite demandant l'autorisation d'administrateur est un troisième cas. Elle nomme un réglage système ou un magasin protégé en cours de modification, et l'identifiant qu'elle veut est un compte administrateur sur ce Mac. Tous les éléments personnels du trousseau n'en ont pas besoin ; ceux derrière la configuration réseau en ont généralement besoin, car la configuration appartient au système, pas à votre session.

Où un mot de passe VPN peut vivre sur un Mac

Le trousseau est un magasin possible, pas la définition d'un magasin. Une configuration VPN intégrée créée dans Réglages Système conserve ses identifiants avec la configuration réseau, comme un réglage système géré. Un client tiers garde généralement un élément dans votre trousseau de connexion : un mot de passe générique indexé par un nom de service ou un mot de passe Internet indexé par serveur, protocole et compte. Beaucoup d'apps récentes utilisent plutôt le trousseau de protection des données, dont les éléments n'apparaissent jamais dans Trousseau d'accès.

Les gens cherchent le nom du VPN dans Trousseau d'accès, ne trouvent rien et concluent que le mot de passe n'est pas stocké. La note TN3137 d'Apple dit qu'il existe plus d'une implémentation de trousseau ; l'absence de cette liste est normale, pas la preuve d'un élément cassé.

Les types d'enregistrement ne sont pas interchangeables non plus. Un mot de passe de compte, une phrase secrète de clé privée, un certificat client et un secret partagé IPsec échouent différemment et se réparent à des endroits différents ; ressaisir un mot de passe enregistré ne fait rien pour un certificat refusé. Si le Mac est inscrit en gestion, le profil est un autre propriétaire : une charge VPN peut porter des identifiants et les réappliquer à l'actualisation, donc supprimer un élément local est temporaire jusqu'à ce qu'un administrateur le change.

Quand le mot de passe de session et celui du trousseau divergent

Le trousseau de connexion utilise normalement votre mot de passe de session Mac, c'est pourquoi les deux peuvent diverger. Un administrateur qui réinitialise votre mot de passe depuis un autre compte, un parcours de récupération ou un changement d'annuaire peuvent laisser le trousseau verrouillé sur l'ancienne valeur, et macOS demande alors un mot de passe que vous ne venez pas de définir.

À la connexion, vous pouvez voir un avertissement indiquant que le système n'a pas pu déverrouiller le trousseau. Sa mise à jour exige l'ancien mot de passe, ce qui va bien si vous vous en souvenez et ne sert à rien sinon. Les deux réparations honnêtes sont Trousseau d'accès, Édition, Modifier le mot de passe du trousseau « login », ou un nouveau trousseau de connexion avec les identifiants nécessaires ressaisis. La seconde option détruit les éléments stockés.

Ne réinitialisez pas tout le trousseau parce qu'un VPN refuse un ancien identifiant : cela supprime des comptes sans rapport et n'identifie toujours pas l'élément.

Une commande tranche la question local contre distant. Demandez l'élément directement au trousseau :

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Utilisez le serveur et le compte des réglages de votre client. Si la même feuille d'approbation apparaît quand vous interrogez vous-même le trousseau, l'invite est locale et le serveur est spectateur. Si un tel élément n'existe pas, le client ne stocke pas le mot de passe là où vous le pensiez. L'option -g affiche le secret dans le terminal, évitez donc le partage d'écran.

Mettez à jour l'enregistrement que le client lit réellement

Si le compte a changé sur la passerelle, changez-le d'abord là-bas, puis mettez à jour l'enregistrement stocké via les réglages du client. Modifier à la main un élément du trousseau n'est pas fiable : le client peut lire une autre paire service-compte, et un profil géré écrasera votre modification.

Pour un élément soupçonné obsolète, faites correspondre service, compte et protocole avant de supprimer quoi que ce soit :

security delete-generic-password -s "Client Name" -a [email protected]

Supprimer un élément au nom similaire d'une autre connexion est une panne fréquente que l'on s'inflige. La suppression n'est que locale : elle ne révoque pas une session sur la passerelle, ne détache pas un certificat d'appareil et ne change pas le mot de passe du compte.

Confirmez que la réparation survit à un redémarrage

Connectez-vous, sortez de veille, déconnectez-vous et reconnectez-vous, puis redémarrez une fois. Une séquence propre sans feuille et un état du client nommant le compte attendu sont la seule preuve qui compte. L'endroit où l'invite revient vous dit quelle couche vous avez manquée : après une mise à jour c'est l'approbation, après un changement de réseau l'invite propre au client, après un redémarrage un profil qui réapplique l'état.

Vérifiez dans le client un réglage mémoriser le mot de passe ou toujours demander avant de retoucher le trousseau. Certaines configurations, notamment IKEv2 avec authentification par utilisateur, demandent par conception à chaque connexion ; la réparation du trousseau n'y changera rien.

Notez quel élément vous avez modifié, quel magasin le possédait et à quel compte il appartenait, pour que la prochaine invite se situe en quelques secondes. La page d'Apple Demandes d'accès au trousseau est la référence sur ce que ces trois boutons autorisent.