Mac freget hieltyd om VPN-wachtwurd: kaaibosk of account?
De Mac kin it wachtwurd fan 'e oanmeldkaaibosk, in behearderwachtwurd of it VPN-account sels freegje. Lês wa't de dialooch heart, en reparearje dan it juste argyf.
Jo ûntslute de Mac, iepenje de VPN-klant, en in wachtwurdblêd ferskynt earder as de tunnel begûn is. Jo type it wachtwurd fan 'e gateway en it wurdt ôfwiisd of it blêd komt in momint letter werom. Dêrnei freget it wer nei it wekker wurden út sliep, ôfmelden of in klantfernijing. Dat blêd is selden de VPN-tsjinner dy't om oanmeldgegevens freget; meastentiids freget macOS tastimming om in lokaal record te lêzen, te ûntsluten of te feroarjen, en it wachtwurd heart by de eigner fan dat record, net by jo VPN-account.
Keppel it blêd oan 'e identiteit dêr't it foar stiet
Fjouwer prompts lykje hast itselde, en mar ien giet oer de gateway. De bewurding, it proses dat tagong freget en it elemint dat derûnder neamd wurdt, fertelle jo hokker jo foar jo hawwe.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
In dialooch oer lokale tagong bewissiget neat oer de tsjinner. In ôfwizing fan 'e gateway ferskynt yn 'e klant mei de flertekst fan 'e leveransier, net as systeemblêd dat oanbiedt in kaaibosk te ûntsluten. It omkearde is like gewoan: it wachtwurd fan 'e gateway yn in kaaiboskblêd type litte it record fersluten en foeget in mislearre poging ta.
De dialooch neamt in eigner, in argyf en in aksje
Kaaibosk-prompts geane oer it opheljen, net oer autentikaasje by eat op ôfstân. Apple's beskriuwing fan 'e oanfraachdialooch is smel: Tastean ien kear, Altyd tastean en Wegerje kontrolearje oft dy app it bewarre elemint lêze mei. Net ien fan 'e trije jout in foarrjocht by de gateway of feroaret wat de tsjinner fan jo wachtwurd tinkt.
As de oanfreger in klant is dy't krekt bywurke is, is nije goedkarring ferwachte: de nije ferzje past net mear by de tagongskontrôlerol fan it elemint, dus freget macOS wer. Antwurdzje Tastean ien kear wylst jo diagnostearje. Altyd tastean is in bliuwende tastimming foar dy app en it ferkearde antwurd foar in help-proses dy't jo net ferwachte; wegerje en kontrolearje de leveransier as it binêre bestân net de klant is dy't jo ynstallearre hawwe.
In prompt dy't behearderautorisasje freget is in tredde soarte. It neamt in systeemynstelling of in beskerme argyf dat feroare wurdt, en it oanmeldgegevens dat it wol is in behearderaccount op dizze Mac. Net elk persoanlik kaaiboskelemint hat dat nedich; dy efter netwurkkonfiguraasje hawwe it meastentiids wol, want de konfiguraasje heart by it systeem, net by jo oanmeldsesje.
Wêr't in VPN-wachtwurd op in Mac wenje kin
It kaaibosk is ien mooglik argyf, net de definysje fan in argyf. In ynboude VPN-konfiguraasje makke yn Systeemynstellingen hâldt syn oanmeldgegevens by de netwurkkonfiguraasje, as beheardersysteemynstelling. In klant fan tredden hâldt meastentiids in elemint yn jo oanmeldkaaibosk: in generyk wachtwurd mei kaai op in tsjinstnamme, of in internetwachtwurd mei kaai op tsjinner, protokol en account. In protte nijere apps brûke ynstee it gegevensbeskermingskaaibosk, wêrfan't de eleminten nea yn Kaaibosktagong ferskine.
Minsken sykje yn Kaaibosktagong nei de VPN-namme, fine neat en konkludearje dat it wachtwurd net bewarre is. Apple's TN3137-notys seit dat der mear as ien kaaiboskimplementaasje bestiet; ôfwêzigens út dy list is normaal, gjin bewiis fan in stikken elemint.
Ek de recordtypen binne net útwikselber. In accountwachtwurd, in wachtwurdspreuk fan in partikuliere kaai, in kliïntsertifikaat en in dield IPsec-geheim mislearje oars en wurde op ferskate plakken reparearre; in bewarre wachtwurd opnij type docht neat foar in wegere sertifikaat. As de Mac yn behear ynskreaun is, is it profyl in oare eigner: in VPN-lading kin oanmeldgegevens drage en se by fernijing opnij tapasse, dus it wiskjen fan in lokaal elemint is tydlik oant in behearder it feroaret.
As it oanmeldwachtwurd en it kaaiboskwachtwurd útinoar drage
It oanmeldkaaibosk brûkt meastentiids jo Mac-oauthmeldwachtwurd, en dêrom kinne de beide útinoar drage. In behearder dy't jo wachtwurd fan in oar account ôf reset, in herstelproses of in mapferoaring kinne it kaaibosk fersluten litte op 'e âlde wearde, en dan freget macOS om in wachtwurd dat jo krekt net ynsteld hawwe.
By it oanmelden kinne jo in warskôging sjen dat it systeem it kaaibosk net ûntslute koe. It bywurkjen freget it âlde wachtwurd, dat goed is as jo it ûnthâlde en nutteloas as jo dat net dogge. De twa earlike reparaasjes binne Kaaibosktagong, Bewurkje, Feroarje wachtwurd foar kaaibosk "login", of in nij oanmeldkaaibosk mei de nedige oanmeldgegevens opnij ynfierd. De twadde opsje ferneatiget bewarre eleminten.
Reset it hiele kaaibosk net omdat ien VPN in âld oanmeldgegevens wegeret: dat hellet net besibbe accounts fuort en identifisearret it elemint noch altyd net.
Ien opdracht besljochtet de fraach lokaal tsjin ôfstân. Freegje it kaaibosk direkt om it elemint:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gBrûk de tsjinner en it account út de ynstellingen fan jo klant. As itselde goedkarringsblêd ferskynt as jo it kaaibosk sels freegje, is de prompt lokaal en is de tsjinner taskôger. As sa'n elemint net bestiet, bewarret de klant it wachtwurd net wêr't jo oannommen hawwe. De flagge -g prints it geheim nei de terminal, dus mijoalje skermdielen.
Wurk it record by dat de klant echt lêst
As it account by de gateway feroare is, feroarje it dêr earst, en wurkje dan it bewarre record by fia de ynstellingen fan de klant. In kaaiboskelemint mei de hân bewurkje is ûnbetrouber: de klant kin in oar tsjinst-en-accountpear lêze, en in behearderprofyl sil jo bewurking oerskriuwe.
Foar in elemint dat fertocht wurdt ferâldere, keppelje tsjinst, account en protokol foar't jo eat wiskje:
security delete-generic-password -s "Client Name" -a [email protected]It wiskjen fan in gelyknamich elemint fan in oare ferbining is in gewoane sels feroarsake ûnderbrekking. It fuortheljen is allinnich lokaal: it lûkt gjin sesje by de gateway yn, ûntbyntet gjin apparaatsertifikaat en feroaret it wachtwurd fan it account net.
Befêstigje dat de reparaasje in werstart oerlibbet
Ferbine, wurde wekker út sliep, meld ôf en wer oan, en werstart dan ien kear. In skjinne folchoarder sûnder blêd en in klantstatus dy't it ferwachte account neamt is it iennige bewiis dat telt. Wêr't de prompt weromkomt, fertelt jo hokker laach jo mist hawwe: nei in fernijing is it goedkarring, nei in netwurkferoaring de eigen prompt fan 'e klant, nei in werstart in profyl dat steat opnij tapast.
Kontrolearje de klant op in ynstelling wachtwurd ûnthâlde of altyd freegje foar't jo it kaaibosk wer oanreitsje. Guon konfiguraasjes, benammen IKEv2 mei autentikaasje per brûker, freegje neffens ûntwerp by elke ferbining; kaaiboskreparaasje sil net helpe.
Skriuw op hokker elemint jo feroare hawwe, hokker argyf it besiet en by hokker account it hearde, sadat de folgjende prompt yn sekonden te pleatsen is. Apple's side Kaaibosktagongsoanfragen is de referinsje foar wat dy trije knoppen autorisearje.