आपका Mac VPN हर बार Keychain एक्सेस क्यों मांगता है
पहचानें कि Mac VPN का हर प्रॉम्प्ट कौन-सा घटक बनाता है, डुप्लिकेट कनेक्शन प्रयास रोकें और पूरा कीचेन रीसेट किए बिना Keychain एक्सेस ठीक करें।
Connect पर एक क्लिक से एक साइन-इन विंडो आनी चाहिए। Mac पर अक्सर तीन आती हैं, और वे शायद ही एक ही मालिक साझा करती हैं: स्थानीय क्रेडेंशियल प्रॉम्प्ट की मालिक Keychain है, VPN गेटवे प्रमाणीकरण का मालिक है, और क्लाइंट अपनी सूचनाओं का। सब कुछ शांत कर देने वाले स्विच की तलाश करने के बजाय हर विंडो को उसके अपने समाधान वाला अलग दोष मानें। नीचे दी गाइड एक जानबूझकर किए गए कनेक्शन प्रयास से गुजरती है और ऐसी जाँच पर समाप्त होती है जिसे आप दोहरा सकते हैं।
सेटिंग बदलने से पहले हर डायलॉग के मालिक का नाम लिखें
पहला कदम हिसाब है, कॉन्फ़िगरेशन नहीं। एक कनेक्शन प्रयास करें और दिखने वाली हर विंडो के लिए चार फ़ील्ड लिखें: डायलॉग में दिखने वाला ऐप नाम, बिना किसी गोपनीय चीज़ के सटीक टेक्स्ट, वह चरण जिसमें यह आई, और जब आपने इसे रद्द किया तब क्या हुआ। ऐसी तीन पंक्तियाँ मेरे देखे लगभग हर रिपोर्ट को कवर करती हैं।
मालिकाना सही समाधान तय करता है, और गलत समाधान ही आम तौर पर एक प्रॉम्प्ट को तीन बना देता है:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
एक ही प्रयास के भीतर लौटने वाला प्रॉम्प्ट अगले प्रयास में लौटने वाले से अलग संकेत है। पहला आम तौर पर मतलब है कि कनेक्शन आपके नीचे फिर से शुरू हुआ; दूसरा आम तौर पर मतलब है कि संग्रहीत क्रेडेंशियल फिर माँगा जा रहा है। Keychain को छूने से पहले नोट करें कि आपके पास कौन-सा है, क्योंकि दोनों में लगभग कुछ भी साझा नहीं है।
पता करें कि कितनी चीज़ें टनल शुरू कर रही हैं
Mac पर एक ही VPN चार तंत्र शुरू कर सकते हैं: मेन्यू बार क्रिया, लॉगिन आइटम, On Demand नियम, और स्क्रिप्ट या एजेंट। जब उनमें से दो सक्रिय होते हैं, दूसरा स्टार्ट तब आ सकता है जब पहला अभी प्रमाणीकरण की प्रतीक्षा कर रहा हो, जिससे डुप्लिकेट विंडो बनती है और कोई प्रगति नहीं होती। पहले सूची बनाएं कि क्या कॉन्फ़िगर है: scutil --nc list सिस्टम सेटिंग्स द्वारा ज्ञात VPN सेवाओं को उनकी वर्तमान स्थिति के साथ प्रिंट करता है। जो क्लाइंट अपना नेटवर्क एक्सटेंशन लाते हैं वे प्रोफ़ाइल ऐप के भीतर रखते हैं और वहाँ नहीं दिख सकते, इसलिए क्लाइंट की अपनी कनेक्शन सूची भी देखें।
फिर प्रतिस्पर्धी स्टार्टर खोजें। scutil --nc show "Work VPN" अंतर्निहित सेवा का कॉन्फ़िगरेशन डिक्शनरी प्रिंट करता है, जिसमें On Demand नियम शामिल हैं; कोई भी इंटरफ़ेस बदलने पर फिर से जुड़ने वाला नियम हर बार Wi-Fi के घूमने या डिस्प्ले के नेटवर्क स्टैक को जगाने पर टनल फिर शुरू करेगा — और प्रमाणीकरण प्रॉम्प्ट फिर खोलेगा। सिस्टम सेटिंग्स > सामान्य > लॉगिन आइटम के अंतर्गत लॉगिन आइटम जाँचें, और प्रति-उपयोगकर्ता एजेंट इससे सूचीबद्ध करें ls ~/Library/LaunchAgents. MDM-प्रबंधित सुरक्षा स्टैक के स्वामित्व वाली किसी भी चीज़ को छोड़ दें; उसे हटाना आम तौर पर अगली जाँच में वापस धकेल दिया जाता है।
प्रयास के दौरान वास्तव में क्या चल रहा है यह देखने के लिए: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. जहाँ एक की अपेक्षा है वहाँ दो क्लाइंट सहायक होना "मुझे दो प्रॉम्प्ट क्यों मिले" को किसी भी क्रेडेंशियल समस्या से कहीं अधिक बार समझाता है।
कीचेन रीसेट किए बिना Keychain एक्सेस ठीक करें
प्रॉम्प्ट संग्रहीत आइटम की एक्सेस कंट्रोल सूची से आता है, VPN प्रोटोकॉल से नहीं। हर आइटम दर्ज करता है कि कौन-से ऐप इसे बिना पूछे पढ़ सकते हैं। क्लाइंट अपडेट के बाद, पूछने वाला सहायक अलग नाम या हस्ताक्षर ले सकता है जबकि आइटम अभी भी पुराने को सूचीबद्ध करता है, इसलिए macOS हर कनेक्शन पर फिर पूछता है। उस एक आइटम के लिए नए सहायक को स्वीकृत करना पूरा समाधान है; हर ऐप को स्वीकृत करना नहीं।
आप VPN को छुए बिना पुष्टि कर सकते हैं कि ACL ही कारण है: security find-generic-password -s "service-name" -g वही आइटम टर्मिनल से पढ़ता है। अगर वह कमांड भी प्रॉम्प्ट उठाती है, तो डायलॉग कीचेन का है और टनल केवल ट्रिगर है। Apple के तीन बटनों पर दिशानिर्देश — एक बार अनुमति दें, हमेशा अनुमति दें, अस्वीकार करें — एक बार पढ़ने लायक हैं, क्योंकि अस्वीकार ही प्रॉम्प्ट को अगले प्रयास के बजाय तुरंत लौटाता है।
अगर आपने गलत सहायक स्वीकृत किया, तो Keychain Access में आइटम खोलें, Access Control पर जाएँ और वह प्रविष्टि हटाएँ; यही रोलबैक है। लॉगिन कीचेन को हटाना, या उसे फिर से बनाने वाला मरम्मत उपकरण चलाना, असंबंधित पासवर्ड भी खो देता है और समस्या से कहीं बड़ा बदलाव है।
लॉगिन और नीति चरणों को उनके अपने फ़्लो में रखें
ब्राउज़र साइन-इन या MFA चुनौती गेटवे की है। अगर आपका संगठन सत्र निरंतरता या प्रमाणपत्र-आधारित प्रमाणीकरण देता है, तो उसका उपयोग करें, क्योंकि कम बार प्रमाणीकरण करने का यही समर्थित तरीका है। क्लाइंट में स्थिर कोड टाइप करना, या प्रॉम्प्ट कभी न आए इसलिए स्क्रिप्ट में पासवर्ड रखना, एक इंटरैक्टिव कारक को स्थिर रहस्य से बदल देता है और अगली बार नीति बदलने पर विफल होता है।
संगठन की सूचनाएँ वह एकमात्र श्रेणी हैं जिन्हें आपको दबाना नहीं चाहिए। वे आम तौर पर पोस्चर जाँच या स्वीकार्य उपयोग की स्वीकृति लागू करती हैं, और उन्हें छिपाना टनल चलने के दौरान भी डिवाइस को अनुपालन से बाहर कर सकता है। त्रुटि डायलॉग दूसरी श्रेणी हैं: पहली त्रुटि का टेक्स्ट रखें, क्योंकि दूसरा डायलॉग अक्सर फिर से प्रयास के बाद वही विफलता होता है।
एक प्रयास से सत्यापित करें, फिर रिबूट के बाद
डुप्लिकेट स्टार्टर हटने और कीचेन प्रविष्टि ठीक होने के बाद एक ही प्रयास करें: मेन्यू बार सहायक सहित हर क्लाइंट इंस्टेंस बंद करें, एक बार कनेक्ट करें और विंडो गिनें। आप कीचेन स्वीकृति चाहते हैं, अगर आइटम फिर से बना हो, और एक प्रमाणीकरण चरण। इससे ज़्यादा नहीं। scutil --nc status "Work VPN" अंतर्निहित सेवा के लिए Connected रिपोर्ट करना चाहिए।
फिर एक बार रिबूट करें और दोहराएँ। केवल रिबूट के बाद लौटने वाला प्रॉम्प्ट लॉगिन आइटम या On Demand नियम की ओर इशारा करता है, क्रेडेंशियल की ओर नहीं; सत्र के भीतर लौटने वाला ACL या दूसरे स्टार्टर की ओर इशारा करता है। अगर दोनों दौर के बाद भी यह दोहराता है, तो अपने व्यवस्थापक को देने लायक उपयोगी चीज़ पहले प्रयास की तीन-पंक्ति तालिका है — मालिक, सटीक टेक्स्ट, चरण — डायलॉग का स्क्रीनशॉट नहीं।
लक्ष्य कम प्रॉम्प्ट हैं, शांत प्रॉम्प्ट नहीं। जो कनेक्शन अपने प्राधिकरण चरण छिपाता है वह ऐसा कनेक्शन है जिसे आप अब ऑडिट नहीं कर सकते, और अगला प्रमाणपत्र रोटेशन आपको यह जाने बिना पकड़ेगा कि कौन-सा घटक विफल हो रहा है।