Mac Terus Meminta Kata Sandi VPN: Gantungan Kunci atau Akun?
Mac mungkin meminta kata sandi gantungan kunci login, kata sandi admin, atau akun VPN itu sendiri. Baca milik siapa dialognya, lalu perbaiki penyimpanan yang benar.
Anda membuka kunci Mac, membuka klien VPN, dan lembar kata sandi muncul sebelum terowongan bahkan dimulai. Anda mengetik kata sandi gateway, dan entah ditolak atau lembarnya kembali sesaat kemudian. Lalu ia bertanya lagi setelah bangun dari tidur, keluar akun, atau pembaruan klien. Lembar itu jarang merupakan server VPN yang meminta kredensial; biasanya macOS meminta izin untuk membaca, membuka, atau mengubah catatan lokal, dan kata sandinya milik pemilik catatan itu, bukan akun VPN Anda.
Cocokkan lembar itu dengan identitas di belakangnya
Empat perintah tampak hampir identik, dan hanya satu yang menyangkut gateway. Kata-katanya, proses yang meminta akses, dan item yang disebutkan di bawahnya memberi tahu Anda mana yang Anda hadapi.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialog tentang akses lokal tidak membuktikan apa pun tentang server. Penolakan gateway muncul di dalam klien dengan teks galat dari vendor, bukan sebagai lembar sistem yang menawarkan membuka gantungan kunci. Kebalikannya sama umum: mengetik kata sandi gateway ke lembar gantungan kunci membuat catatan tetap terkunci dan menambah satu percobaan gagal.
Dialog menyebut pemilik, penyimpanan, dan tindakan
Perintah gantungan kunci berkaitan dengan pengambilan, bukan autentikasi ke sesuatu yang jauh. Deskripsi Apple tentang dialog permintaan sempit: Izinkan Sekali, Selalu Izinkan, dan Tolak mengatur apakah aplikasi itu boleh membaca item tersimpan. Tak satu pun dari ketiganya memberi hak istimewa di gateway atau mengubah apa yang server pikirkan tentang kata sandi Anda.
Ketika peminta adalah klien yang baru saja diperbarui, persetujuan ulang memang diharapkan: versi baru tidak lagi cocok dengan daftar kontrol akses pada item, jadi macOS bertanya lagi. Jawab Izinkan Sekali saat mendiagnosis. Selalu Izinkan adalah izin permanen untuk aplikasi itu dan jawaban yang salah untuk proses pembantu yang tidak Anda duga; tolak dan periksa vendor jika biner bukan klien yang Anda pasang.
Perintah yang meminta otorisasi administrator adalah jenis ketiga. Ia menyebut pengaturan sistem atau penyimpanan terlindungi yang sedang diubah, dan kredensial yang diminta adalah akun administrator di Mac ini. Tidak setiap item gantungan kunci pribadi memerlukannya; item di balik konfigurasi jaringan biasanya memerlukannya, karena konfigurasi itu milik sistem, bukan sesi login Anda.
Di mana kata sandi VPN di Mac bisa tinggal
Gantungan kunci adalah salah satu penyimpanan yang mungkin, bukan definisi penyimpanan. Konfigurasi VPN bawaan yang dibuat di Pengaturan Sistem menyimpan kredensialnya bersama konfigurasi jaringan, sebagai pengaturan sistem terkelola. Klien pihak ketiga biasanya menyimpan item di gantungan kunci login Anda: kata sandi generik dengan kunci nama layanan, atau kata sandi internet dengan kunci server, protokol, dan akun. Banyak aplikasi lebih baru memakai gantungan kunci perlindungan data, yang itemnya tidak pernah muncul di Akses Gantungan Kunci.
Orang mencari nama VPN di Akses Gantungan Kunci, tidak menemukan apa pun, dan menyimpulkan kata sandinya tidak tersimpan. Catatan TN3137 Apple menyatakan ada lebih dari satu implementasi gantungan kunci; tidak ada di daftar itu normal, bukan bukti item rusak.
Jenis catatan juga tidak bisa dipertukarkan. Kata sandi akun, frasa sandi kunci privat, sertifikat klien, dan rahasia bersama IPsec gagal dengan cara berbeda dan diperbaiki di tempat berbeda; mengetik ulang kata sandi tersimpan tidak membantu sertifikat yang ditolak. Jika Mac terdaftar dalam manajemen, profil adalah pemilik lain: muatan VPN dapat membawa kredensial dan menerapkannya lagi saat penyegaran, jadi menghapus item lokal bersifat sementara sampai administrator mengubahnya.
Ketika kata sandi login dan kata sandi gantungan kunci berbeda
Gantungan kunci login biasanya memakai kata sandi login Mac Anda, itulah sebabnya keduanya bisa berbeda. Administrator yang mengatur ulang kata sandi Anda dari akun lain, alur pemulihan, atau perubahan direktori dapat membuat gantungan kunci terkunci pada nilai lama, dan macOS lalu meminta kata sandi yang baru saja tidak Anda setel.
Saat login Anda mungkin melihat peringatan bahwa sistem tidak dapat membuka gantungan kunci. Memperbaruinya perlu kata sandi lama, yang baik jika Anda ingat dan tidak berguna jika tidak. Dua perbaikan jujur adalah Akses Gantungan Kunci, Edit, Ubah Kata Sandi untuk Gantungan Kunci "login", atau gantungan kunci login baru dengan kredensial yang diperlukan dimasukkan ulang. Opsi kedua menghancurkan item tersimpan.
Jangan mengatur ulang seluruh gantungan kunci karena satu VPN menolak kredensial lama: itu menghapus akun yang tidak terkait dan tetap tidak mengidentifikasi itemnya.
Satu perintah menyelesaikan pertanyaan lokal versus jarak jauh. Mintalah item itu langsung kepada gantungan kunci:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gGunakan server dan akun dari pengaturan klien Anda. Jika lembar persetujuan yang sama muncul saat Anda sendiri meminta gantungan kunci, perintahnya lokal dan server hanyalah penonton. Jika item semacam itu tidak ada, klien tidak menyimpan kata sandi di tempat yang Anda anggap. Tanda -g mencetak rahasianya ke terminal, jadi hindari berbagi layar.
Perbarui catatan yang benar-benar dibaca klien
Jika akun berubah di gateway, ubah dulu di sana, lalu perbarui catatan tersimpan melalui pengaturan klien. Mengedit item gantungan kunci secara manual tidak andal: klien mungkin membaca pasangan layanan-dan-akun lain, dan profil terkelola akan menimpa editan Anda.
Untuk item yang dicurigai usang, cocokkan layanan, akun, dan protokol sebelum menghapus apa pun:
security delete-generic-password -s "Client Name" -a [email protected]Menghapus item bernama serupa dari koneksi lain adalah gangguan umum yang Anda sebabkan sendiri. Penghapusan hanya lokal: itu tidak mencabut sesi di gateway, tidak melepas sertifikat perangkat, dan tidak mengubah kata sandi akun.
Pastikan perbaikan bertahan setelah reboot
Hubungkan, bangun dari tidur, keluar dan masuk lagi, lalu reboot sekali. Urutan bersih tanpa lembar dan status klien yang menyebut akun yang diharapkan adalah satu-satunya bukti yang berlaku. Di mana perintah itu kembali memberi tahu lapisan mana yang Anda lewatkan: setelah pembaruan itu persetujuan, setelah perubahan jaringan perintah klien sendiri, setelah reboot profil yang menerapkan ulang status.
Periksa klien untuk pengaturan ingat kata sandi atau selalu tanya sebelum menyentuh gantungan kunci lagi. Beberapa konfigurasi, terutama IKEv2 dengan autentikasi per pengguna, bertanya secara desain pada setiap koneksi; perbaikan gantungan kunci tidak akan membantu.
Catat item apa yang Anda ubah, penyimpanan mana yang memilikinya, dan akun mana pemiliknya, agar perintah berikutnya bisa ditempatkan dalam hitungan detik. Halaman Apple Permintaan akses gantungan kunci adalah rujukan tentang apa yang diotorisasi ketiga tombol itu.