Mac stalno traži VPN lozinku: privjesak ključeva ili račun?
Mac može tražiti lozinku privjeska ključeva za prijavu, administratorsku lozinku ili sam VPN račun. Pročitajte kome pripada dijalog, pa popravite pravo spremište.
Otključate Mac, otvorite VPN klijent i list za lozinku pojavi se prije nego što je tunel uopće počeo. Upišete lozinku pristupnika i ona bude ili odbijena, ili se list vrati koji trenutak kasnije. Zatim pita ponovno nakon buđenja iz sna, odjave ili ažuriranja klijenta. Taj list rijetko je VPN poslužitelj koji traži vjerodajnice; obično macOS traži dopuštenje da pročita, otključa ili promijeni lokalni zapis, a lozinka pripada vlasniku tog zapisa, ne vašem VPN računu.
Uskladite list s identitetom iza njega
Četiri upita izgledaju gotovo jednako, a samo se jedan tiče pristupnika. Formulacija, proces koji traži pristup i stavka navedena ispod govore s kojim imate posla.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dijalog o lokalnom pristupu ne dokazuje ništa o poslužitelju. Odbijanje pristupnika pojavljuje se unutar klijenta s proizvođačevim tekstom pogreške, a ne kao sistemski list koji nudi otključavanje privjeska ključeva. Obrnuto je jednako često: upis lozinke pristupnika u list privjeska ključeva ostavlja zapis zaključanim i dodaje neuspjeli pokušaj.
Dijalog imenuje vlasnika, spremište i radnju
Upiti privjeska ključeva tiču se dohvaćanja, a ne autentifikacije prema nečemu udaljenom. Appleov opis dijaloga zahtjeva uzak je: Dopusti jednom, Uvijek dopusti i Odbij nadziru smije li ta aplikacija čitati pohranjenu stavku. Nijedno od troje ne daje privilegiju na pristupniku niti mijenja što poslužitelj misli o vašoj lozinci.
Kad je podnositelj klijent koji se upravo ažurirao, ponovno odobrenje je očekivano: nova verzija više ne odgovara popisu za kontrolu pristupa na stavci, pa macOS ponovno pita. Odgovorite Dopusti jednom dok dijagnosticirate. Uvijek dopusti trajna je dozvola toj aplikaciji i pogrešan odgovor za pomoćni proces koji niste očekivali; odbijte i provjerite proizvođača ako izvršna datoteka nije klijent koji ste instalirali.
Upit za administratorsko odobrenje treća je vrsta. Imenuje sistemsku postavku ili zaštićeno spremište koje se mijenja, a vjerodajnica koju traži jest administratorski račun na ovom Macu. Nije svakoj osobnoj stavci privjeska ključeva to potrebno; onima iza mrežne konfiguracije obično jest, jer konfiguracija pripada sustavu, a ne vašoj sesiji prijave.
Gdje VPN lozinka na Macu može živjeti
Privjesak ključeva jedno je moguće spremište, a ne definicija spremišta. Ugrađena VPN konfiguracija stvorena u Postavkama sustava čuva svoje vjerodajnice uz mrežnu konfiguraciju, kao upravljanu sistemsku postavku. Klijent treće strane obično drži stavku u vašem privjesku ključeva za prijavu: generičku lozinku s ključem po nazivu usluge ili internetsku lozinku s ključem po poslužitelju, protokolu i računu. Mnoge novije aplikacije umjesto toga koriste privjesak ključeva za zaštitu podataka, čije se stavke nikad ne pojavljuju u Pristupu privjesku ključeva.
Ljudi traže u Pristupu privjesku ključeva ime VPN-a, ne nađu ništa i zaključe da lozinka nije pohranjena. Appleova bilješka TN3137 kaže da postoji više od jedne implementacije privjeska ključeva; odsutnost s tog popisa normalna je, a ne dokaz neispravne stavke.
Vrste zapisa također nisu zamjenjive. Lozinka računa, zaporka privatnog ključa, klijentski certifikat i IPsec zajednička tajna ne uspijevaju na različite načine i popravljaju se na različitim mjestima; ponovno upisivanje spremljene lozinke ništa ne čini za odbijeni certifikat. Ako je Mac upisan u upravljanje, profil je još jedan vlasnik: VPN teret može nositi vjerodajnice i ponovno ih primijeniti pri osvježavanju, pa je brisanje lokalne stavke privremeno dok to administrator ne promijeni.
Kad se lozinka za prijavu i lozinka privjeska ključeva razilaze
Privjesak ključeva za prijavu obično koristi vašu lozinku za prijavu na Mac, zato se njih dvije mogu razići. Administrator koji poništi vašu lozinku s drugog računa, postupak oporavka ili promjena u imeniku mogu ostaviti privjesak zaključan na staru vrijednost, a macOS tada traži lozinku koju niste upravo postavili.
Pri prijavi možete vidjeti upozorenje da sustav nije mogao otključati privjesak ključeva. Ažuriranje traži staru lozinku, što je dobro ako je se sjećate i beskorisno ako ne. Dva iskrena popravka su Pristup privjesku ključeva, Uredi, Promijeni lozinku privjeska ključeva "login", ili novi privjesak ključeva za prijavu s ponovno unesenim potrebnim vjerodajnicama. Druga opcija uništava pohranjene stavke.
Ne poništavajte cijeli privjesak ključeva jer jedan VPN odbija staru vjerodajnicu: to uklanja nepovezane račune i još uvijek ne prepoznaje stavku.
Jedna naredba rješava pitanje lokalno nasuprot udaljeno. Zatražite stavku izravno od privjeska ključeva:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUpotrijebite poslužitelj i račun iz postavki klijenta. Ako se isti list za odobrenje pojavi kad sami zatražite stavku od privjeska, upit je lokalan, a poslužitelj je promatrač. Ako takva stavka ne postoji, klijent ne pohranjuje lozinku gdje ste pretpostavili. Zastavica -g ispisuje tajnu u terminal, pa izbjegavajte dijeljenje zaslona.
Ažurirajte zapis koji klijent doista čita
Ako se račun promijenio na pristupniku, promijenite ga najprije tamo, a zatim ažurirajte pohranjeni zapis kroz postavke klijenta. Ručno uređivanje stavke privjeska ključeva nepouzdano je: klijent može čitati drugi par usluge i računa, a upravljani profil prebrisat će vašu izmjenu.
Za stavku za koju sumnjate da je zastarjela, uskladite uslugu, račun i protokol prije nego što išta izbrišete:
security delete-generic-password -s "Client Name" -a [email protected]Brisanje slično nazvane stavke s druge veze čest je samoizazvani prekid. Uklanjanje je samo lokalno: ono ne opoziva sesiju na pristupniku, ne odvezuje certifikat uređaja i ne mijenja lozinku računa.
Potvrdite da popravak preživi ponovno pokretanje
Povežite se, probudite iz sna, odjavite se pa se ponovno prijavite, zatim jednom ponovno pokrenite. Čist slijed bez lista i status klijenta koji navodi očekivani račun jedini su dokaz koji se računa. Mjesto na koje se upit vraća kaže koji ste sloj propustili: nakon ažuriranja to je odobrenje, nakon mrežne promjene klijentov vlastiti upit, nakon ponovnog pokretanja profil koji ponovno primjenjuje stanje.
Provjerite u klijentu postavku zapamti lozinku ili uvijek pitaj prije nego što ponovno dirate privjesak ključeva. Neke konfiguracije, posebno IKEv2 s autentifikacijom po korisniku, pitaju po dizajnu pri svakom povezivanju; popravak privjeska neće pomoći.
Zapišite koju ste stavku promijenili, koje je spremište bilo njezin vlasnik i kojem je računu pripadala, da se sljedeći upit smjesti u sekundama. Appleova stranica Zahtjevi za pristup privjesku ključeva referenca je za to što ta tri gumba odobravaju.