Il Mac continua a chiedere la password VPN: portachiavi o account?
Il Mac può chiedere la password del portachiavi di login, una password amministratore o l'account VPN stesso. Leggi a chi appartiene la finestra, poi ripara l'archivio giusto.
Sblocchi il Mac, apri il client VPN e appare un pannello password prima ancora che il tunnel sia partito. Digiti la password del gateway e viene rifiutata oppure il pannello torna poco dopo. Poi richiede di nuovo dopo il risveglio, la disconnessione o un aggiornamento del client. Quel pannello è raramente il server VPN che chiede credenziali; di solito macOS chiede il permesso di leggere, sbloccare o modificare un record locale, e la password appartiene al proprietario di quel record, non al tuo account VPN.
Abbina il pannello all'identità che c'è dietro
Quattro richieste sembrano quasi identiche e solo una riguarda il gateway. La formulazione, il processo che chiede accesso e l'elemento indicato sotto ti dicono quale hai davanti.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Una finestra sull'accesso locale non dimostra nulla sul server. Un rifiuto del gateway appare dentro il client con il testo d'errore del fornitore, non come un pannello di sistema che offre di sbloccare un portachiavi. È altrettanto comune il contrario: digitare la password del gateway in un pannello del portachiavi lascia il record bloccato e aggiunge un tentativo fallito.
La finestra nomina un proprietario, un archivio e un'azione
Le richieste del portachiavi riguardano il recupero, non l'autenticazione verso qualcosa di remoto. La descrizione di Apple della finestra di richiesta è ristretta: Consenti una volta, Consenti sempre e Nega controllano se quell'app può leggere l'elemento archiviato. Nessuna delle tre concede un privilegio sul gateway né cambia ciò che il server pensa della tua password.
Quando il richiedente è un client appena aggiornato, una nuova approvazione è attesa: la nuova build non corrisponde più alla lista di controllo degli accessi dell'elemento, quindi macOS richiede di nuovo. Rispondi Consenti una volta durante la diagnosi. Consenti sempre è un'autorizzazione permanente a quell'app ed è la risposta sbagliata per un processo ausiliario che non ti aspettavi; nega e controlla il fornitore se il binario non è il client che hai installato.
Una richiesta di autorizzazione amministrativa è un terzo caso. Nomina un'impostazione di sistema o un archivio protetto in fase di modifica, e la credenziale che vuole è un account amministratore su questo Mac. Non ogni elemento personale del portachiavi ne ha bisogno; quelli dietro la configurazione di rete di solito sì, perché la configurazione appartiene al sistema, non alla tua sessione.
Dove può vivere una password VPN su un Mac
Il portachiavi è un archivio possibile, non la definizione di archivio. Una configurazione VPN integrata creata in Impostazioni di Sistema conserva le credenziali con la configurazione di rete, come impostazione di sistema gestita. Un client di terze parti di solito tiene un elemento nel tuo portachiavi di login: una password generica con chiave sul nome del servizio o una password internet con chiave su server, protocollo e account. Molte app recenti usano invece il portachiavi di protezione dati, i cui elementi non compaiono mai in Accesso Portachiavi.
Le persone cercano il nome della VPN in Accesso Portachiavi, non trovano nulla e concludono che la password non è archiviata. La nota TN3137 di Apple dice che esiste più di un'implementazione del portachiavi; l'assenza da quell'elenco è normale, non prova di un elemento rotto.
Anche i tipi di record non sono intercambiabili. Una password di account, una passphrase di chiave privata, un certificato client e un segreto condiviso IPsec falliscono in modo diverso e si riparano in luoghi diversi; ridigitare una password salvata non fa nulla per un certificato rifiutato. Se il Mac è iscritto alla gestione, il profilo è un altro proprietario: un payload VPN può portare credenziali e riapplicarle al refresh, quindi eliminare un elemento locale è temporaneo finché un amministratore non lo cambia.
Quando la password di login e quella del portachiavi divergono
Il portachiavi di login usa normalmente la password di login del Mac, per questo le due possono divergere. Un amministratore che reimposta la password da un altro account, un flusso di recupero o un cambio di directory possono lasciare il portachiavi bloccato sul vecchio valore, e allora macOS chiede una password che non hai appena impostato.
Al login potresti vedere un avviso che il sistema non è riuscito a sbloccare il portachiavi. Aggiornarlo richiede la vecchia password, cosa che va bene se la ricordi e inutile se no. Le due riparazioni oneste sono Accesso Portachiavi, Modifica, Cambia password per portachiavi "login", o un nuovo portachiavi di login con le credenziali necessarie reinserite. La seconda opzione distrugge gli elementi salvati.
Non reimpostare tutto il portachiavi perché una VPN rifiuta una vecchia credenziale: elimina account non correlati e ancora non identifica l'elemento.
Un comando risolve la questione locale contro remoto. Chiedi l'elemento direttamente al portachiavi:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUsa il server e l'account dalle impostazioni del client. Se lo stesso pannello di approvazione appare quando interroghi tu stesso il portachiavi, la richiesta è locale e il server è spettatore. Se un tale elemento non esiste, il client non archivia la password dove pensavi. Il flag -g stampa il segreto nel terminale, quindi evita la condivisione dello schermo.
Aggiorna il record che il client legge davvero
Se l'account è cambiato sul gateway, cambialo prima lì, poi aggiorna il record salvato tramite le impostazioni del client. Modificare a mano un elemento del portachiavi non è affidabile: il client può leggere un'altra coppia servizio-account e un profilo gestito sovrascriverà la tua modifica.
Per un elemento sospettato obsoleto, abbina servizio, account e protocollo prima di eliminare qualsiasi cosa:
security delete-generic-password -s "Client Name" -a [email protected]Eliminare un elemento dal nome simile di un'altra connessione è un'interruzione frequente che ti procuri da solo. La rimozione è solo locale: non revoca una sessione sul gateway, non sgancia un certificato di dispositivo e non cambia la password dell'account.
Conferma che la riparazione sopravvive a un riavvio
Connettiti, esci dal riposo, disconnetti e riconnetti, poi riavvia una volta. Una sequenza pulita senza pannello e uno stato del client che nomina l'account atteso sono l'unica prova che conta. Dove torna la richiesta ti dice quale livello hai saltato: dopo un aggiornamento è l'approvazione, dopo un cambio di rete la richiesta del client stesso, dopo un riavvio un profilo che riapplica lo stato.
Controlla nel client un'impostazione ricorda password o chiedi sempre prima di toccare di nuovo il portachiavi. Alcune configurazioni, soprattutto IKEv2 con autenticazione per utente, chiedono per progettazione a ogni connessione; la riparazione del portachiavi non aiuterà.
Annota quale elemento hai cambiato, quale archivio lo possedeva e a quale account apparteneva, così la prossima richiesta si colloca in secondi. La pagina Apple Richieste di accesso al portachiavi è il riferimento su ciò che autorizzano quei tre pulsanti.