Hvers vegna Mac-VPN-ið þitt biður um Keychain-aðgang í hvert skipti

Einn smellur á Connect ætti að gefa eina innskráningarhluggu. Á Mac gefur hann oft þrjár, og þær deila sjaldan sama eiganda: lyklaknippið á staðbundnu skilríkjaábendingarnar, VPN-gáttin á auðkenninguna og biðlarinn á sínar eigin tilkynningar. Í stað þess að leita að rofa sem þaggar allt, meðhöndlaðu hverja glugga sem sérstakan galla með eigin lagfæringu. Leiðbeiningin hér að neðan fer í gegnum eina viljandi tengingartilraun og endar með prófun sem þú getur endurtekið.

Nefndu eiganda hvers glugga áður en þú breytir stillingu

Fyrsta skrefið er bókhald, ekki uppsetning. Gerðu eina tengingartilraun og skrifaðu fyrir hvern glugga sem birtist fjögur svæði: heiti forritsins í glugganum, nákvæman textann án nokkurra leyndarmála, þann áfanga sem hann birtist í og hvað gerðist þegar þú hættir við. Þrjár slíkar línur ná yfir nánast hverja skýrslu sem ég hef skoðað.

Eignarhaldið ræður réttu lagfæringunni, og ranga lagfæringin er venjulega það sem breytir einni ábendingu í þrjár:

Ábending sem kemur aftur innan sömu tilraunar er annað merki en sú sem kemur aftur í næstu tilraun. Sú fyrri þýðir venjulega að tengingin var endurræst undir þér; sú seinni þýðir venjulega að spurt er aftur um geymd skilríki. Skrifaðu niður hvora þú hefur áður en þú snertir lyklaknippið, því þær tvær eiga nánast ekkert sameiginlegt.

Finndu út hversu margt ræsir göngin

Fjórir fyrirkomulagar geta ræst sama VPN á Mac: aðgerð í valmyndarstiku, innskráningarhlutur, On Demand-regla og skrift eða umboðsmaður. Þegar tveir þeirra kvikna getur seinni ræsingin komið á meðan sú fyrri bíður enn auðkenningar, sem myndar tvöfaldan glugga og engan framgang. Listaðu fyrst hvað er uppsett: scutil --nc list prentar VPN-þjónusturnar sem Kerfisstillingar þekkja, með núverandi stöðu þeirra. Biðlarar sem koma með eigin netlengingar halda sniðum inni í forritinu og birtast kannski ekki þar, svo athugaðu líka tengingarlista biðlarans sjálfs.

Leitaðu svo að samkeppnisaðilum. scutil --nc show "Work VPN" prentar stillingarorðabók innbyggðrar þjónustu, þar á meðal On Demand-reglur; regla sem tengist aftur við hverja tengibreytu endurræsir göngin — og opnar auðkenningarábendinguna aftur — í hvert sinn sem Wi-Fi ferðast eða skjár vekur netstaflann. Athugaðu innskráningarhluti undir Kerfisstillingar > Almennt > Innskráningarhlutir og listaðu umboðsmenn á hvern notanda með ls ~/Library/LaunchAgents. Láttu allt sem tilheyrir öryggisstafla undir stjórn MDM í friði; fjarlæging þess er venjulega ýtt til baka við næstu athugun.

Til að sjá hvað er í raun í gangi á meðan á tilraun stendur: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Tveir biðlaraaðstoðarmenn þar sem þú býst við einum útskýra "af hverju fékk ég tvær ábendingar" miklu oftar en nokkurt skilríkjavandamál.

Lagaðu lyklaknippisaðgang án þess að endurstilla lyklaknippið

Ábendingin kemur frá aðgangsstýrilista geymda hlutarins, ekki frá VPN-samskiptareglunni. Hver hlutur skráir hvaða forrit mega lesa hann án þess að spyrja. Eftir uppfærslu biðlarans getur aðstoðarmaðurinn sem spyr borið annað nafn eða undirskrift á meðan hluturinn listar enn þann gamla, svo macOS spyr aftur við hverja tengingu. Að samþykkja nýja aðstoðarmanninn fyrir þennan eina hlut er öll lagfæringin; að samþykkja hvert forrit er það ekki.

Þú getur staðfest að ACL sé orsökin án þess að snerta VPN-ið: security find-generic-password -s "service-name" -g les sama hlutinn frá flugstöð. Ef sú skipun veldur líka ábendingunni tilheyrir glugginn lyklaknippinu og göngin eru aðeins kveikjan. Leiðbeiningar Apple um þrjá hnappa — Leyfa einu sinni, Leyfa alltaf, Hafna — eru einnar lestrar virði, því Hafna er það sem lætur ábendinguna koma aftur strax í stað næstu tilraunar.

Ef þú samþykktir ranga aðstoðarmanninn skaltu opna hlutinn í Keychain Access, fara í Access Control og fjarlægja þá færslu; það er afturköllunin. Að eyða innskráningarlyklaknippinu, eða keyra viðgerðartól sem endurbyggir það, hendir líka ótengdum lykilorðum og er miklu stærri breyting en vandamálið.

Haltu innskráningar- og stefnuskrefum í þeim flæðum sem eiga þau

Innskráning í vafra eða MFA-áskorun tilheyrir gáttinni. Ef samtökin þín bjóða upp á lotuþrautseigju eða skilríkjamiðaða auðkenningu skaltu nota hana, því það er studda leiðin til að auðkenna sjaldnar. Að slá fastan kóða inn í biðlara, eða geyma lykilorð í skrift svo ábendingin birtist aldrei, kemur í stað gagnvirkrar þáttar með kyrru leyndarmáli og mistekst næst þegar stefnan snýst.

Tilkynningar samtakanna eru eini flokkurinn sem þú ættir ekki að bæla. Þær framfylgja venjulega stöðuprófun eða samþykki fyrir ásættanlegri notkun, og að fela þær getur sett tækið úr samræmi jafnvel þótt göngin virki. Villugluggar eru hinn flokkurinn: geymdu texta fyrstu villunnar, því seinni glugginn er oft bara sama bilunin tilkynnt eftir endurtilraun.

Staðfestu með einni tilraun, svo eftir endurræsingu

Þegar tvíteknum ræsivölum hefur verið eytt og lyklaknippisfærslan löguð, gerðu eina tilraun: lokaðu hverju biðlaratilviki þar á meðal aðstoðarmanninum í valmyndarstikunni, tengdu einu sinni og teldu gluggana. Þú vilt lyklaknippissamþykkið, ef hluturinn var endurbyggður, og eitt auðkenningarskref. Ekkert meira. scutil --nc status "Work VPN" ætti að tilkynna Connected fyrir innbyggða þjónustu.

Endurræstu svo einu sinni og endurtaktu. Ábending sem kemur aftur aðeins eftir endurræsingu bendir á innskráningarhlut eða On Demand-reglu, ekki skilríki; sú sem kemur aftur innan lotunnar bendir á ACL eða aðra ræsingu. Ef hún endurtekur sig enn eftir báðar umferðir er gagnlegi hluturinn til að gefa kerfisstjóranum þínum þriggja lína taflan frá fyrstu tilraun — eigandi, nákvæmur texti, áfangi — ekki skjáskot af glugganum.

Færri ábendingar er markmiðið, ekki þaggaðar. Tenging sem felur heimildarskref sín er tenging sem þú getur ekki lengur endurskoðað, og næsta skilríkjavelta finnur þig án hugmyndar um hvaða hluti er að bregðast.