O Mac non deixa de pedir o contrasinal da VPN: chaveiro ou conta?
O Mac pode querer o contrasinal do chaveiro de inicio de sesión, un contrasinal de administrador ou a propia conta de VPN. Le de quen é o diálogo e repara o almacén correcto.
Desbloqueas o Mac, abres o cliente VPN e aparece unha folla de contrasinal antes de que o túnel comezase. Escribes o contrasinal da pasarela e ou ben o rexeitan ou ben a folla volve un momento despois. Logo volve preguntar tras espertar do repouso, pechar a sesión ou unha actualización do cliente. Esa folla raramente é o servidor VPN pedindo credenciais; normalmente macOS pide permiso para ler, desbloquear ou cambiar un rexistro local, e o contrasinal pertence ao dono dese rexistro, non á túa conta de VPN.
Empareja a folla coa identidade que hai detrás
Catro avisos parecen case idénticos e só un afecta a pasarela. A redacción, o proceso que solicita acceso e o elemento nomeado debaixo dinche cal tes diante.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Un diálogo sobre acceso local non demostra nada sobre o servidor. Un rexeitamento da pasarela aparece dentro do cliente co texto de erro do provedor, non como unha folla do sistema que ofrece desbloquear un chaveiro. O contrario é igual de frecuente: escribir o contrasinal da pasarela nunha folla do chaveiro deixa o rexistro bloqueado e suma un intento fallido.
O diálogo nomea un dono, un almacén e unha acción
Os avisos do chaveiro tratan de recuperar, non de autenticarse ante algo remoto. A descrición de Apple do diálogo de solicitude é estreita: Permitir unha vez, Permitir sempre e Denegar controlan se esa app pode ler o elemento gardado. Ningunha das tres concede un privilexio na pasarela nin cambia o que o servidor pensa do teu contrasinal.
Cando o solicitante é un cliente acabado de actualizar, é de esperar unha nova aprobación: a compilación nova xa non coincide coa lista de control de acceso do elemento, así que macOS volve preguntar. Responde Permitir unha vez mentres diagnosticas. Permitir sempre é unha concesión permanente a esa app e a resposta incorrecta para un proceso auxiliar que non esperabas; denega e comproba o provedor se o binario non é o cliente que instalaches.
Un aviso que pide autorización de administrador é outra cousa. Nomea un axuste do sistema ou un almacén protexido que se está cambiando, e a credencial que quere é unha conta de administrador neste Mac. Non todos os elementos persoais do chaveiro o necesitan; os que están detrás da configuración de rede normalmente si, porque a configuración pertence ao sistema, non á túa sesión de inicio.
Onde pode vivir un contrasinal de VPN nun Mac
O chaveiro é un almacén posible, non a definición dun almacén. Unha configuración de VPN integrada creada en Axustes do Sistema garda as súas credenciais coa configuración de rede, como un axuste do sistema xestionado. Un cliente de terceiros adoita gardar un elemento no teu chaveiro de inicio de sesión: un contrasinal xenérico con clave por nome de servizo ou un contrasinal de internet con clave por servidor, protocolo e conta. Moitas apps máis novas usan no seu lugar o chaveiro de protección de datos, cuxos elementos nunca aparecen en Acceso a Chaveiros.
A xente busca o nome da VPN en Acceso a Chaveiros, non atopa nada e conclúe que o contrasinal non está gardado. A nota TN3137 de Apple di que existe máis dunha implementación de chaveiro; a ausencia nesa lista é normal, non proba dun elemento roto.
Os tipos de rexistro tampouco son intercambiables. Un contrasinal de conta, unha frase de paso dunha clave privada, un certificado de cliente e un segredo compartido de IPsec fallan de forma distinta e repáranse en lugares distintos; volver escribir un contrasinal gardado non fai nada por un certificado rexeitado. Se o Mac está inscrito en xestión, o perfil é outro dono: unha carga de VPN pode levar credenciais e reaplicarlas ao refrescar, así que borrar un elemento local é temporal ata que un administrador o cambie.
Cando o contrasinal de inicio e o do chaveiro se separan
O chaveiro de inicio usa normalmente o teu contrasinal de inicio do Mac, por iso os dous poden separarse. Que un administrador restableza o teu contrasinal desde outra conta, un fluxo de recuperación ou un cambio de directorio poden deixar o chaveiro bloqueado co valor antigo, e entón macOS pide un contrasinal que non acabas de definir.
Ao iniciar sesión podes ver un aviso de que o sistema non puido desbloquear o chaveiro. Actualizalo necesita o contrasinal antigo, o que vai ben se o recordas e é inútil se non. As dúas reparacións honestas son Acceso a Chaveiros, Editar, Cambiar contrasinal do chaveiro "login", ou un chaveiro de inicio novo coas credenciais necesarias volvéndose introducir. A segunda opción destrúe os elementos gardados.
Non restablezas todo o chaveiro porque unha VPN rexeita unha credencial antiga: iso elimina contas non relacionadas e segue sen identificar o elemento.
Un comando resolve a cuestión de local contra remoto. Pide o elemento directamente ao chaveiro:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUsa o servidor e a conta dos axustes do teu cliente. Se a mesma folla de aprobación aparece cando preguntas ti mesmo ao chaveiro, o aviso é local e o servidor é un espectador. Se non existe tal elemento, o cliente non garda o contrasinal onde supuxeches. O indicador -g imprime o segredo no terminal, así que evita compartir pantalla.
Actualiza o rexistro que o cliente le de verdade
Se a conta cambiou na pasarela, cámbiaa primeiro alí e despois actualiza o rexistro gardado mediante os axustes do cliente. Editar a man un elemento do chaveiro non é fiable: o cliente pode ler outro par de servizo e conta, e un perfil xestionado sobrescribirá a túa edición.
Para un elemento que sospeitas obsoleto, empareja servizo, conta e protocolo antes de borrar nada:
security delete-generic-password -s "Client Name" -a [email protected]Borrar un elemento de nome parecido doutra conexión é unha interrupción frecuente que te provocas ti mesmo. A eliminación só é local: non revoga unha sesión na pasarela, non desvincula un certificado de dispositivo nin cambia o contrasinal da conta.
Confirma que a reparación sobrevive a un reinicio
Conéctate, esperta do repouso, pecha e volve abrir sesión e reinicia unha vez. Unha secuencia limpa sen folla e un estado do cliente que nomee a conta esperada é a única proba que conta. Onde volve o aviso diche que capa pasaches por alto: tras unha actualización é a aprobación, tras un cambio de rede o aviso propio do cliente, tras un reinicio un perfil que reaplica estado.
Revisa no cliente se hai un axuste de recordar contrasinal ou preguntar sempre antes de tocar o chaveiro outra vez. Algunhas configuracións, sobre todo IKEv2 con autenticación por usuario, preguntan por deseño en cada conexión; a reparación do chaveiro non axudará.
Anota que elemento cambiaste, que almacén o posuía e a que conta pertencía, para que o seguinte aviso se sitúe en segundos. A páxina de Apple Solicitudes de acceso ao chaveiro é a referencia sobre que autorizan eses tres botóns.