Ինչու ձեր Mac-ի VPN-ը ամեն անգամ Keychain-ի հասանելիություն է ուզում
Որոշեք, թե որ բաղադրիչն է առաջացնում Mac-ի VPN-ի յուրաքանչյուր հուշումը, կանգնեցրեք կրկնվող միացման փորձերը և վերականգնեք Keychain-ի հասանելիությունը՝ չվերակայելով ամբողջ բանալեպահը։
Connect-ի մեկ սեղմումը պետք է մեկ մուտքի պատուհան տա։ Mac-ում այն հաճախ երեքն է տալիս, և նրանք հազվադեպ են կիսում նույն տիրոջը՝ բանալեպահն է տեղական հավատարմագրերի հուշումների տերը, VPN-դարպասն է նույնականացման տերը, իսկ հաճախորդը՝ իր սեփական ծանուցումների։ Ամեն ինչ լռեցնող անջատիչ փնտրելու փոխարեն յուրաքանչյուր պատուհան դիտեք որպես առանձին թերություն՝ իր ուղղումով։ Ներքևի ուղեցույցն անցնում է մեկ դիտավորյալ միացման փորձով և ավարտվում է կրկնելի ստուգմամբ։
Անվանեք յուրաքանչյուր երկխոսության տիրոջը՝ նախքան կարգավորումը փոխելը
Առաջին քայլը հաշվառումն է, ոչ թե կազմաձևումը։ Կատարեք մեկ միացման փորձ և յուրաքանչյուր հայտնված պատուհանի համար գրեք չորս դաշտ՝ երկխոսության մեջ ցուցադրված հավելվածի անունը, ճշգրիտ տեքստը՝ առանց որևէ գաղտնիքի, այն փուլը, որտեղ այն հայտնվեց, և ինչ եղավ, երբ չեղարկեցիք այն։ Երեք այդպիսի տող ծածկում են իմ տեսած գրեթե բոլոր հաշվետվությունները։
Տիրությունը որոշում է ճիշտ ուղղումը, և սխալ ուղղումն է, որ սովորաբար մեկ հուշումը դարձնում է երեք՝
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Նույն փորձի ընթացքում վերադարձող հուշումը այլ ազդանշան է, քան հաջորդ փորձին վերադարձողը։ Առաջինը սովորաբար նշանակում է, որ կապը ձեր տակ վերագործարկվել է՝ երկրորդը սովորաբար նշանակում է, որ պահված հավատարմագիր է կրկին հարցվում։ Նշեք, թե որն ունեք, նախքան բանալեպահին դիպչելը, որովհետև այդ երկուսը գրեթե ոչինչ ընդհանուր չունեն։
Պարզեք, թե քանի բան է մեկնարկում թունելը
Չորս մեխանիզմ կարող է մեկնարկել նույն VPN-ը Mac-ում՝ ընտրացանկի գործողություն, մուտքի տարր, On Demand կանոն և սկրիպտ կամ գործակալ։ Երբ նրանցից երկուսը գործարկվում են, երկրորդ մեկնարկը կարող է գալ, երբ առաջինը դեռ սպասում է նույնականացմանը, ինչը ստեղծում է կրկնակի պատուհան և ոչ մի առաջընթաց։ Նախ թվարկեք, թե ինչ է կազմաձևված՝ scutil --nc list տպում է Համակարգի կարգավորումներին հայտնի VPN ծառայությունները՝ իրենց ընթացիկ կարգավիճակով։ Այն հաճախորդները, որոնք բերում են իրենց ցանցային ընդլայնումը, պրոֆիլները պահում են հավելվածի ներսում և այնտեղ չեն երևա, ուստի ստուգեք նաև հաճախորդի սեփական միացումների ցանկը։
Ապա փնտրեք մրցակից մեկնարկիչներ։ scutil --nc show "Work VPN" տպում է ներկառուցված ծառայության կազմաձևման բառարանը՝ ներառյալ On Demand կանոնները՝ ցանկացած ինտերֆեյսի փոփոխության վրա վերամիացող կանոնը կվերագործարկի թունելը — և նորից կբացի նույնականացման հուշումը — ամեն անգամ, երբ Wi-Fi-ը տեղափոխվում է կամ էկրանը արթնացնում է ցանցային ստեկը։ Ստուգեք մուտքի տարրերը Համակարգի կարգավորումներ > Ընդհանուր > Մուտքի տարրեր բաժնում և թվարկեք օգտվողական գործակալները սրանով ls ~/Library/LaunchAgents։ Թողեք անփոփոխ այն ամենը, ինչ պատկանում է MDM-ով կառավարվող անվտանգության ստեկին՝ դրա հեռացումը սովորաբար հետ է շպրտվում հաջորդ ստուգման ժամանակ։
Տեսնելու, թե ինչ է իրականում աշխատում փորձի ընթացքում՝ ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'։ Երկու հաճախորդ-օգնական այնտեղ, որտեղ մեկն եք սպասում, «ինչու երկու հուշում ստացա» հարցը բացատրում է շատ ավելի հաճախ, քան հավատարմագրերի ցանկացած խնդիր։
Վերականգնեք բանալեպահի հասանելիությունը՝ չվերակայելով բանալեպահը
Հուշումը գալիս է պահված տարրի հասանելիության կառավարման ցանկից, ոչ թե VPN արձանագրությունից։ Յուրաքանչյուր տարր գրանցում է, թե որ հավելվածները կարող են կարդալ այն առանց հարցնելու։ Հաճախորդի թարմացումից հետո հարցնող օգնականը կարող է կրել այլ անուն կամ ստորագրություն, մինչ տարրը դեռ ցուցակում է հինը, ուստի macOS-ը նորից հարցնում է յուրաքանչյուր միացման ժամանակ։ Նոր օգնականին հենց այդ մեկ տարրի համար հաստատելը ամբողջ ուղղումն է՝ բոլոր հավելվածներին հաստատելը՝ ոչ։
Կարող եք հաստատել, որ պատճառը ACL-ն է՝ չդիպչելով VPN-ին՝ security find-generic-password -s "service-name" -g կարդում է նույն տարրը տերմինալից։ Եթե այդ հրամանը նույնպես առաջացնում է հուշումը, երկխոսությունը պատկանում է բանալեպահին, իսկ թունելը միայն գործարկիչն է։ Apple-ի ուղեցույցը երեք կոճակների մասին — Մեկ անգամ թույլատրել, Միշտ թույլատրել, Մերժել — արժե մեկ անգամ կարդալ, որովհետև Մերժելն է, որ հուշումը վերադարձնում է անմիջապես, այլ ոչ հաջորդ փորձին։
Եթե հաստատել եք սխալ օգնականին, բացեք տարրը Keychain Access-ում, անցեք Access Control և հեռացրեք այդ գրառումը՝ դա է հետ շրջելը։ Մուտքի բանալեպահը ջնջելը կամ այն վերակառուցող վերանորոգման գործիք գործարկելը նույնպես դեն է նետում անկապ գաղտնաբառերը և շատ ավելի մեծ փոփոխություն է, քան խնդիրը։
Պահեք մուտքի և քաղաքականության քայլերը այն հոսքերում, որոնք տիրում են դրանց
Դիտարկիչով մուտքը կամ MFA մարտահրավերը պատկանում է դարպասին։ Եթե ձեր կազմակերպությունն առաջարկում է նստաշրջանի պահպանում կամ վկայագրային նույնականացում, օգտագործեք այն, որովհետև դա է ավելի հազվադեպ նույնականանալու աջակցվող եղանակը։ Հաճախորդում հաստատուն կոդ մուտքագրելը կամ սկրիպտում գաղտնաբառ պահելը, որպեսզի հուշումը երբեք չհայտնվի, ինտերակտիվ գործոնը փոխարինում է ստատիկ գաղտնիքով և ձախողվում է հաջորդ անգամ, երբ քաղաքականությունը փոխվի։
Կազմակերպության ծանուցումները միակ կատեգորիան են, որ չպետք է ճնշեք։ Դրանք սովորաբար պարտադրում են կեցվածքի ստուգում կամ ընդունելի օգտագործման հաստատում, և դրանք թաքցնելը կարող է սարքը դուրս բերել համապատասխանությունից նույնիսկ այն ժամանակ, երբ թունելն աշխատում է։ Սխալի երկխոսությունները մյուս կատեգորիան են՝ պահեք առաջին սխալի տեքստը, որովհետև երկրորդ երկխոսությունը հաճախ նույն ձախողումն է, որը հաղորդվում է կրկնակի փորձից հետո։
Ստուգեք մեկ փորձով, ապա վերագործարկումից հետո
Կրկնակի մեկնարկիչները հեռացնելուց և բանալեպահի գրառումը վերանորոգելուց հետո կատարեք մեկ փորձ՝ փակեք հաճախորդի յուրաքանչյուր օրինակ՝ ներառյալ ընտրացանկի օգնականը, միացեք մեկ անգամ և հաշվեք պատուհանները։ Ցանկանում եք բանալեպահի հաստատումը, եթե տարրը վերակառուցվել է, և մեկ նույնականացման քայլ։ Ոչ ավելին։ scutil --nc status "Work VPN" պետք է Connected հաղորդի ներկառուցված ծառայության համար։
Ապա վերագործարկեք մեկ անգամ և կրկնեք։ Միայն վերագործարկումից հետո վերադարձող հուշումը մատնանշում է մուտքի տարր կամ On Demand կանոն, ոչ թե հավատարմագրեր՝ մեկը, որ վերադառնում է նստաշրջանի ընթացքում, մատնանշում է ACL-ը կամ երկրորդ մեկնարկիչը։ Եթե այն դեռ կրկնվում է երկու փուլից հետո, օգտակար բանը, որ կարող եք տալ ձեր ադմինիստրատորին, առաջին փորձի երեք տողանոց աղյուսակն է՝ տեր, ճշգրիտ տեքստ, փուլ, այլ ոչ երկխոսության սքրինշոթ։
Նպատակը ավելի քիչ հուշումներն են, ոչ թե լուռները։ Կապը, որը թաքցնում է իր լիազորման քայլերը, կապ է, որն այլևս չեք կարող աուդիտ անել, և վկայագրերի հաջորդ պտույտը ձեզ կգտնի առանց իմանալու, թե որ բաղադրիչն է ձախողվում։