A Mac újra meg újra VPN-jelszót kér: kulcskarika vagy fiók?
A Mac kérheti a bejelentkezési kulcskarika jelszavát, egy rendszergazdai jelszót vagy magát a VPN-fiókot. Olvassa el, kié a párbeszéd, majd javítsa a megfelelő tárat.
Feloldja a Mac zárolását, megnyitja a VPN-ügyfélt, és egy jelszólap jelenik meg, mielőtt az alagút elindult volna. Beírja az átjáró jelszavát, és vagy elutasítják, vagy a lap egy pillanattal később visszatér. Aztán újra kérdez alvásból ébredés, kijelentkezés vagy ügyfélfrissítés után. Ez a lap ritkán a VPN-kiszolgáló, amely hitelesítő adatokat kér; általában a macOS kér engedélyt egy helyi rekord olvasására, feloldására vagy módosítására, és a jelszó a rekord tulajdonosáé, nem a VPN-fiókjáé.
Párosítsa a lapot a mögötte álló identitással
Négy kérés néz ki majdnem ugyanúgy, és csak egy érinti az átjárót. A szövegezés, a hozzáférést kérő folyamat és az alatta megnevezett elem megmondja, melyikkel áll szemben.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
A helyi hozzáférésről szóló párbeszéd semmit nem bizonyít a kiszolgálóról. Az átjáró elutasítása az ügyfélen belül, a szállító hibaszövegével jelenik meg, nem rendszerlapként, amely kulcskarika feloldását kínálja. A fordítottja ugyanilyen gyakori: az átjáró jelszavának beírása egy kulcskarika-lapba zárva hagyja a rekordot, és hozzáad egy sikertelen kísérletet.
A párbeszéd megnevez tulajdonost, tárat és műveletet
A kulcskarika-kérések az elővételről szólnak, nem valami távoli dologgal szembeni hitelesítésről. Az Apple leírása a kérési párbeszédről szűk: az Egyszeri engedélyezés, a Mindig engedélyezés és az Elutasítás azt szabályozza, hogy az adott app olvashatja-e a tárolt elemet. Egyik sem ad jogosultságot az átjárón, és nem változtatja meg, mit gondol a kiszolgáló a jelszaváról.
Ha a kérelmező egy éppen frissített ügyfél, az újraengedélyezés várható: az új build már nem felel meg az elem hozzáférés-vezérlési listájának, ezért a macOS újra kérdez. Diagnosztizálás közben válassza az Egyszeri engedélyezés lehetőséget. A Mindig engedélyezés állandó engedély az adott appnak, és rossz válasz egy nem várt segédfolyamat esetén; utasítsa el, és ellenőrizze a szállítót, ha a bináris nem a telepített ügyfél.
A rendszergazdai engedélyt kérő felugró ablak harmadik fajta. Megnevez egy módosuló rendszerbeállítást vagy védett tárat, és a kért hitelesítő adat egy rendszergazdai fiók ezen a Macen. Nem minden személyes kulcskarika-elemnek kell ez; a hálózati konfiguráció mögöttieknek általában igen, mert a konfiguráció a rendszerhez tartozik, nem a bejelentkezési munkamenetéhez.
Hol élhet VPN-jelszó a Macen
A kulcskarika egy lehetséges tár, nem a tár definíciója. A Rendszerbeállításokban létrehozott beépített VPN-konfiguráció a hitelesítő adatait a hálózati konfiguráció mellett, felügyelt rendszerbeállításként tartja. A harmadik féltől származó ügyfél általában egy elemet tart a bejelentkezési kulcskarikájában: szolgáltatásnévvel kulcsolt általános jelszót vagy kiszolgálóval, protokollal és fiókkal kulcsolt internetes jelszót. Sok újabb app inkább az adatvédelmi kulcskarikát használja, amelynek elemei soha nem jelennek meg a Kulcskarika-hozzáférésben.
Az emberek a Kulcskarika-hozzáférésben keresik a VPN nevét, nem találnak semmit, és arra jutnak, hogy a jelszó nincs tárolva. Az Apple TN3137 megjegyzése szerint több kulcskarika-implementáció létezik; a hiányzás abból a listából normális, nem a hibás elem bizonyítéka.
A rekordtípusok sem cserélhetők fel. A fiókjelszó, a titkos kulcs jelszava, az ügyféltanúsítvány és az IPsec közös titok különbözőképpen hibázik, és különböző helyeken javítható; a tárolt jelszó újragépelése semmit nem tesz egy elutasított tanúsítványért. Ha a Mac felügyeletbe van iratkozva, a profil egy másik tulajdonos: egy VPN-hasznos teher vihet hitelesítő adatokat, és frissítéskor újra alkalmazhatja őket, ezért egy helyi elem törlése ideiglenes, amíg egy rendszergazda meg nem változtatja.
Amikor a bejelentkezési jelszó és a kulcskarika jelszava elválik
A bejelentkezési kulcskarika általában a Mac bejelentkezési jelszavát használja, ezért a kettő elválhat. Ha egy rendszergazda másik fiókból állítja vissza a jelszavát, egy helyreállítási folyamat vagy egy címtárváltozás, a kulcskarika a régi értéknél zárva maradhat, és akkor a macOS olyan jelszót kér, amelyet épp nem állított be.
Bejelentkezéskor figyelmeztetést láthat, hogy a rendszer nem tudta feloldani a kulcskarikát. Frissítéséhez a régi jelszó kell, ami jó, ha emlékszik rá, és haszontalan, ha nem. A két becsületes javítás a Kulcskarika-hozzáférés, a Szerkesztés, a Kulcskarika "login" jelszavának módosítása, vagy egy új bejelentkezési kulcskarika a szükséges hitelesítő adatok újbóli megadásával. A második lehetőség elpusztítja a tárolt elemeket.
Ne állítsa vissza az egész kulcskarikát, mert egy VPN elutasít egy régi hitelesítő adatot: ez eltávolítja a független fiókokat, és még mindig nem azonosítja az elemet.
Egy parancs eldönti a helyi és a távoli kérdését. Kérdezze meg közvetlenül a kulcskarikától az elemet:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gHasználja az ügyfél beállításaiból a kiszolgálót és a fiókot. Ha ugyanaz az engedélyezőlap jelenik meg, amikor Ön maga kérdezi a kulcskarikát, a kérés helyi, és a kiszolgáló csak néző. Ha nincs ilyen elem, az ügyfél nem ott tárolja a jelszót, ahol feltételezte. A -g kapcsoló a titkot a terminálra írja, ezért kerülje a képernyőmegosztást.
Frissítse azt a rekordot, amelyet az ügyfél valóban olvas
Ha a fiók megváltozott az átjárón, először ott változtassa meg, majd frissítse a tárolt rekordot az ügyfél beállításain keresztül. A kulcskarika-elem kézi szerkesztése megbízhatatlan: az ügyfél más szolgáltatás–fiók párt olvashat, és a felügyelt profil felülírja a szerkesztését.
Egy elavultnak vélt elemnél egyeztesse a szolgáltatást, a fiókot és a protokollt, mielőtt bármit törölne:
security delete-generic-password -s "Client Name" -a [email protected]Egy hasonló nevű elem törlése egy másik kapcsolatból gyakori, saját magának okozott kimaradás. Az eltávolítás csak helyi: nem vonja vissza a munkamenetet az átjárón, nem oldja le az eszköztanúsítványt, és nem változtatja meg a fiók jelszavát.
Erősítse meg, hogy a javítás túléli az újraindítást
Csatlakozzon, ébredjen fel alvásból, jelentkezzen ki és be újra, majd indítsa újra egyszer. A lap nélküli tiszta sorrend és a várt fiókot megnevező ügyfélállapot az egyetlen bizonyíték, amely számít. Hogy hol tér vissza a kérés, megmondja, melyik réteget hagyta ki: frissítés után az engedélyezés, hálózati változás után az ügyfél saját kérése, újraindítás után az állapotot újra alkalmazó profil.
A kulcskarika újbóli megérintése előtt ellenőrizze az ügyfélben a jelszó megjegyzése vagy a mindig kérdez beállítást. Egyes konfigurációk, különösen a felhasználónkénti hitelesítésű IKEv2, tervezés szerint minden kapcsolatnál kérdeznek; a kulcskarika javítása nem segít.
Jegyezze fel, melyik elemet módosította, melyik tár birtokolta, és melyik fiókhoz tartozott, hogy a következő kérés másodpercek alatt beazonosítható legyen. Az Apple Kulcskarika-hozzáférési kérések oldala a referencia arról, mit engedélyez az a három gomb.