Por que o teu VPN de Mac pide acceso ao Keychain cada vez
Identifica que compoñente xera cada aviso do VPN en Mac, detén os intentos de conexión duplicados e repara o acceso ao Keychain sen restablecer todo o chaveiro.
Un clic en Connect debería producir unha ventá de inicio de sesión. Nun Mac a miúdo produce tres, e raramente comparten dono: o Keychain é dono dos avisos de credenciais locais, a pasarela VPN é dona da autenticación, e o cliente éo dos seus propios avisos. En vez de buscar un interruptor que silencie todo, trata cada ventá como un defecto separado coa súa propia solución. O manual seguinte percorre un intento de conexión deliberado e remata cunha comprobación que podes repetir.
Nomea o dono de cada diálogo antes de cambiar un axuste
O primeiro paso é contabilidade, non configuración. Fai un intento de conexión e, para cada ventá que apareza, anota catro campos: o nome da app que mostra o diálogo, o texto exacto sen nada secreto, a fase na que apareceu e que ocorreu cando o cancelaches. Tres filas así cobren case todos os informes que vin.
A propiedade decide a solución correcta, e a solución incorrecta adoita ser o que converte un aviso en tres:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Un aviso que volve dentro do mesmo intento é un sinal distinto dun que volve no seguinte intento. O primeiro adoita significar que a conexión se reiniciou baixo os teus pés; o segundo adoita significar que se volve pedir unha credencial gardada. Anota cal tes antes de tocar o Keychain, porque os dous case non teñen nada en común.
Averigua cantas cousas están iniciando o túnel
Catro mecanismos poden iniciar o mesmo VPN nun Mac: unha acción da barra de menús, un elemento de inicio de sesión, unha regra On Demand e un script ou axente. Cando dous deles se disparan, o segundo inicio pode chegar mentres o primeiro aínda espera autenticación, o que produce unha ventá duplicada e ningún avance. Primeiro lista o que está configurado: scutil --nc list imprime os servizos VPN que coñecen os Axustes do Sistema, co seu estado actual. Os clientes que inclúen a súa propia extensión de rede gardan os perfís dentro da app e pode que non aparezan alí, así que revisa tamén a lista de conexións do propio cliente.
Despois busca iniciadores competidores. scutil --nc show "Work VPN" imprime o dicionario de configuración dun servizo integrado, incluídas as regras On Demand; unha regra que se reconecta con calquera cambio de interface reiniciará o túnel — e reabrirá o aviso de autenticación — cada vez que o Wi-Fi se desprace ou unha pantalla esperte a pila de rede. Revisa os elementos de inicio de sesión en Axustes do Sistema > Xeral > Elementos de inicio de sesión, e lista os axentes por usuario con ls ~/Library/LaunchAgents. Non toques nada que pertenza a unha pila de seguridade xestionada por MDM; eliminalo adoita volver na seguinte comprobación.
Para ver que se está a executar realmente durante un intento: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dous auxiliares de cliente onde esperas un explican «por que recibín dous avisos» moito máis a miúdo que calquera problema de credenciais.
Repara o acceso ao Keychain sen restablecer o Keychain
O aviso vén da lista de control de acceso do elemento gardado, non do protocolo VPN. Cada elemento rexistra que aplicacións poden lelo sen preguntar. Tras unha actualización do cliente, o auxiliar que pregunta pode levar outro nome ou outra sinatura mentres o elemento aínda lista o antigo, así que macOS volve preguntar en cada conexión. Aprobar o novo auxiliar para ese único elemento é toda a solución; aprobar todas as aplicacións non o é.
Podes confirmar que a ACL é a causa sen tocar o VPN: security find-generic-password -s "service-name" -g le o mesmo elemento desde un terminal. Se ese comando tamén provoca o aviso, o diálogo pertence ao Keychain e o túnel é só o disparador. As indicacións de Apple sobre os tres botóns — Permitir unha vez, Permitir sempre, Denegar — merecen unha lectura, porque Denegar é o que fai que o aviso reapareza de inmediato en lugar do seguinte intento.
Se aprobaches o auxiliar incorrecto, abre o elemento en Acceso a Keychain, cambia a Control de acceso e elimina esa entrada; esa é a reversión. Borrar o chaveiro de inicio de sesión, ou executar unha ferramenta de reparación que o reconstruxa, tamén descarta contrasinais non relacionadas e é un cambio moito maior que o problema.
Mantén os pasos de inicio de sesión e de política nos fluxos que lles pertencen
Un inicio de sesión no navegador ou un desafío MFA pertencen á pasarela. Se a túa organización ofrece persistencia de sesión ou autenticación baseada en certificados, úsaa, porque é a forma admitida de autenticarse con menos frecuencia. Escribir un código fixo nun cliente, ou gardar un contrasinal nun script para que o aviso nunca apareza, substituúe un factor interactivo por un segredo estático e falla a próxima vez que rote a política.
Os avisos da organización son a única categoría que non deberías suprimir. Adoitan impoñer unha comprobación de postura ou un recoñecemento de uso aceptable, e ocultalos pode deixar o dispositivo fóra de cumprimento mesmo mentres o túnel funciona. Os diálogos de erro son a outra categoría: conserva o texto do primeiro erro, porque un segundo diálogo a miúdo é só o mesmo fallo informado tras un reintento.
Verifica cun intento, e despois tras un reinicio
Coos iniciadores duplicados eliminados e a entrada do Keychain reparada, fai un único intento: pecha cada instancia do cliente, incluído o auxiliar da barra de menús, conéctate unha vez e conta as ventás. Queres a aprobación do Keychain, se o elemento se reconstruíu, e un paso de autenticación. Nada máis. scutil --nc status "Work VPN" debería informar de Connected para un servizo integrado.
Despois reinicia unha vez e repite. Un aviso que só volve tras un reinicio apunta a un elemento de inicio de sesión ou a unha regra On Demand, non ás credenciais; un que volve dentro da sesión apunta á ACL ou a un segundo iniciador. Se segue repetíndose tras as dúas pasadas, o útil que podes entregar ao teu administrador é a táboa de tres filas do primeiro intento — dono, texto exacto, fase — non unha captura do diálogo.
Menos avisos é o obxectivo, non avisos silenciosos. Unha conexión que oculta os seus pasos de autorización é unha conexión que xa non podes auditar, e a próxima rotación de certificados atoparate sen idea de que compoñente está fallando.