Wêrom't jo Mac-VPN elke kear Keychain-tagong freget
Kartearje hokker komponint elke Mac-VPN-fraach ophellet, stopje dûbele ferbiningspogingen en reparearje Keychain-tagong sûnder de hiele kaaiwinkel werom te setten.
Ien klik op Connect soe ien oanmeldskerm opsmite moatte. Op in Mac smyt it faaks trije op, en se diele selden ien eigner: de kaaiwinkel hat de lokale oanfragen foar oanmeldgegevens, de VPN-gateway hat de autentikaasje, en de klant hat syn eigen meldings. Ynstee fan in skeakel te sykjen dy't alles stil makket, behannelje elk skerm as in apart defekt mei syn eigen oplossing. De hantlieding hjirûnder rint troch ien bewuste ferbiningspoging en einiget mei in kontrôle dy't jo werhelje kinne.
Nammje de eigner fan elk dialoochfinster foardat jo in ynstelling feroarje
De earste stap is boekhâlding, net konfiguraasje. Doch ien ferbiningspoging en skriuw foar elk skerm dat ferskynt fjouwer fjilden op: de appnamme yn it dialoochfinster, de krekte tekst sûnder eat geheims, de faze wêryn't it ferskynde, en wat der barde doe't jo it annulearren. Trije sokke rigels dekke hast elk rapport dat ik sjoen ha.
Eignerskip bepaalt de juste oplossing, en de ferkearde oplossing is meastal wat ien fraach yn trije feroaret:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
In fraach dy't binnen deselde poging weromkomt is in oar sinjaal as ien dy't by de folgjende poging weromkomt. De earste betsjut meastal dat de ferbining ûnder jo opnij start is; de twadde betsjut meastal dat in bewarre oanmeldgegevens wer frege wurde. Skriuw op hokker jo hawwe foardat jo de kaaiwinkel oanreitsje, want de twa hawwe hast neat gemien.
Fyn út hoefolle dingen de tunnel starte
Fjouwer meganismen kinne deselde VPN op in Mac starte: in aksje yn 'e menubalke, in oanmelditem, in On Demand-regel en in skript of agent. As twa dêrfan ôfgeane, kin de twadde start oankomme wylst de earste noch op autentikaasje wachtet, wat in dûbel skerm en gjin foarútgong jout. Listearje earst wat konfigurearre is: scutil --nc list prints de VPN-tsjinsten dy't Systeemynstellingen kenne, mei har hjoeddeistige status. Klanten dy't har eigen netwurkútwreiding leverje, hâlde profilen yn 'e app en ferskine dêr miskien net, dus kontrolearje ek de ferbiningslist fan 'e klant sels.
Sykje dan nei konkurrearjende starters. scutil --nc show "Work VPN" prints it konfiguraasje-wurdboek fan in ynboude tsjinst, ynklusyf On Demand-regels; in regel dy't by elke interface-feroaring wer ferbynt, sil de tunnel opnij starte — en de autentikaasjefraach wer iepenje — elke kear as Wi-Fi ferhuzet of in skerm de netwurkstapel wekker makket. Kontrolearje oanmelditems ûnder Systeemynstellingen > Algemien > Oanmelditems, en listearje aginten per brûker mei ls ~/Library/LaunchAgents. Lit alles stean dat eigendom is fan in MDM-beheard befeiligingsstapel; it fuortheljen wurdt by de folgjende kontrôle meastal weromset.
Om te sjen wat der echt rint tidens in poging: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Twa klanthelpers dêr't jo ien ferwachtsje, ferklearje "wêrom krige ik twa fragen" folle faker as hokker oanmeldgegevensprobleem dan ek.
Reparearje kaaiwinkeltagong sûnder de kaaiwinkel werom te setten
De fraach komt fan 'e tagongskontrôlelist fan it bewarre item, net fan it VPN-protokol. Elk item registrearret hokker applikaasjes it sûnder freegjen lêze meie. Nei in klantfernijing kin de helper dy't freget in oare namme of hantekening drage wylst it item noch de âlde listet, sadat macOS by elke ferbining wer freget. De nije helper foar dat iene item goedkarre is de hiele oplossing; elke applikaasje goedkarre is dat net.
Jo kinne befêstigje dat de ACL de oarsaak is sûnder de VPN oan te reitsjen: security find-generic-password -s "service-name" -g lêst itselde item fan in terminal. As dy opdracht ek de fraach ophellet, heart it dialoochfinster by de kaaiwinkel en is de tunnel allinne de trigger. Apple syn rjochtlinen oer de trije knoppen — Ien kear tastean, Altyd tastean, Wegerje — binne ien kear lêzen wurdich, want Wegerje is wat de fraach fuortendaliks weromkomme lit yn stee fan by de folgjende poging.
As jo de ferkearde helper goedkard hawwe, iepenje it item yn Keychain Access, gean nei Access Control en ferwiderje dy ynfier; dat is de weromset. It oanmeldkaaiwinkel wiskje, of in reparaasje-ark draaie dat it wer opbout, smyt ek net-relatearre wachtwurden fuort en is in folle gruttere feroaring as it probleem.
Hâld oanmeld- en beliedsstappen yn 'e flows dy't se hawwe
In browser-oanmelding of MFA-útdaging heart by de gateway. As jo organisaasje sesje-persistinsje of sertifikaat-basearre autentikaasje biedt, brûk dy, want dat is de stipe manier om minder faak te autentisearjen. In fêste koade yn in klant typje, of in wachtwurd yn in skript bewarje sadat de fraach nea ferskynt, ferfangt in ynteraktive faktor troch in statysk geheim en mislearret de folgjende kear as belied rotearret.
Organisaasjemeldings binne de iene kategory dy't jo net ûnderdrukke moatte. Se twinge meastal in postuer-kontrôle of in erkenning fan akseptabel gebrûk ôf, en se ferbergje kin it apparaat bûten neilibbing bringe sels wylst de tunnel wurket. Flaterdialoogs binne de oare kategory: bewarje de tekst fan 'e earste flater, want in twadde dialooch is faaks itselde mislearjen dat nei in nije poging rapportearre wurdt.
Ferifiearje mei ien poging, dan nei in werstart
Mei dûbele starters fuorthelle en it kaaiwinkelitem reparearre, doch ien poging: slút elke klant-ynstânsje ynklusyf de menubalke-helper, ferbyn ien kear, en tel de skermen. Jo wolle de kaaiwinkelgoedkarring, as it item wer opboud is, en ien autentikaasjestap. Neat mear. scutil --nc status "Work VPN" soe Connected rapportearje moatte foar in ynboude tsjinst.
Werstart dan ien kear en werhelje. In fraach dy't allinnich nei in werstart weromkomt, wiist op in oanmelditem of in On Demand-regel, net op oanmeldgegevens; ien dy't binnen de sesje weromkomt, wiist op de ACL of op in twadde starter. As it nei beide rondes noch werhellet, is it nuttige ding om jo behearder te jaan de trije-rige tabel fan 'e earste poging — eigner, krekte tekst, faze — net in skermôfbylding fan it dialoochfinster.
Minder fragen is it doel, net stille. In ferbining dy't har autorisaasjestappen ferberget, is in ferbining dy't jo net mear auditearje kinne, en de folgjende sertifikaatrotatie sil jo fine sûnder te witten hokker komponint mislearret.