Mac მუდამ VPN პაროლს ითხოვს: გასაღებების შემკრები თუ ანგარიში?
Mac-მა შეიძლება მოითხოვოს შესვლის გასაღებების შემკრების პაროლი, ადმინისტრატორის პაროლი ან თავად VPN ანგარიში. წაიკითხეთ, ვისია დიალოგი და შეასწორეთ სწორი საცავი.
თქვენ ხსნით Mac-ის ბლოკს, ხსნით VPN კლიენტს და პაროლის ფურცელი ჩნდება გვირაბის დაწყებამდე. აკრეფთ კარიბჭის პაროლს და ის ან უარყოფილია, ან ფურცელი ცოტა ხანში ბრუნდება. შემდეგ ისევ იკითხავს ძილიდან გაღვიძების, გასვლის ან კლიენტის განახლების შემდეგ. ეს ფურცელი იშვიათად არის VPN სერვერი, რომელიც იძახებს მონაცემებს; ჩვეულებრივ macOS ითხოვს ნებართვას ადგილობრივი ჩანაწერის წასაკითხად, გასახსნელად ან შესაცვლელად, და პაროლი ეკუთვნის ამ ჩანაწერის მფლობელს, არა თქვენს VPN ანგარიშს.
შეუსაბამეთ ფურცელი მის უკან მდგარ იდენტობას
ოთხი მოთხოვნა თითქმის ერთნაირია და მხოლოდ ერთი ეხება კარიბჭეს. ფორმულირება, წვდომის მომთხოვნი პროცესი და ქვემოთ დასახელებული ელემენტი გეუბნებათ, რომელი გაქვთ წინაშე.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
ადგილობრივ წვდომაზე დიალოგი სერვერის შესახებ არაფერს ამტკიცებს. კარიბჭის უარყოფა კლიენტის შიგნით ჩნდება მომწოდებლის შეცდომის ტექსტით, არა როგორც სისტემური ფურცელი, რომელიც გასაღებების შემკრების გახსნას სთავაზობს. საპირისპიროც ისევე ხშირია: კარიბჭის პაროლის შემკრების ფურცელში აკრეფა ჩანაწერს ჩაკეტილს ტოვებს და ერთ წარუმატებელ ცდას ამატებს.
დიალოგი ასახელებს მფლობელს, საცავს და მოქმედებას
შემკრების მოთხოვნები მოპოვებას ეხება, არა შორეულ რაღაცასთან ავთენტიფიკაციას. Apple-ის აღწერა მოთხოვნის დიალოგზე ვიწროა: ერთხელ დაშვება, ყოველთვის დაშვება და უარყოფა აკონტროლებენ, შეიძლება თუ არა ამ აპს შენახული ელემენტის წაკითხვა. არც ერთი მათგანი არ იძლევა უფლებას კარიბჭეზე და არ ცვლის, რასაც სერვერი ფიქრობს თქვენს პაროლზე.
როცა მთხოვნელი ახლახან განახლებული კლიენტია, ხელახალი დადასტურება მოსალოდნელია: ახალი ვერსია აღარ ემთხვევა ელემენტის წვდომის კონტროლის სიას, ამიტომ macOS ისევ იკითხავს. დიაგნოსტიკის დროს უპასუხეთ ერთხელ დაშვება. ყოველთვის დაშვება მუდმივი ნებართვაა ამ აპისთვის და არასწორი პასუხია მოულოდნელი დამხმარე პროცესისთვის; უარყავით და შეამოწმეთ მომწოდებელი, თუ ბინარული ფაილი არ არის თქვენ მიერ დაინსტალირებული კლიენტი.
ადმინისტრატორის ნებართვის მომთხოვნი შეტყობინება მესამე ტიპია. ის ასახელებს ცვლად სისტემურ პარამეტრს ან დაცულ საცავს და ითხოვს ადმინისტრატორის ანგარიშს ამ Mac-ზე. ყველა პირად შემკრების ელემენტს ეს არ სჭირდება; ქსელის კონფიგურაციის უკან მდგომებს ჩვეულებრივ სჭირდებათ, რადგან კონფიგურაცია სისტემას ეკუთვნის, არა თქვენს შესვლის სეანსს.
სად შეიძლება იცხოვროს Mac-ის VPN პაროლმა
გასაღებების შემკრები ერთი შესაძლო საცავია და არა საცავის განსაზღვრება. სისტემის პარამეტრებში შექმნილი ჩაშენებული VPN კონფიგურაცია თავის მონაცემებს ქსელის კონფიგურაციასთან ერთად ინახავს, როგორც მართვადი სისტემური პარამეტრი. მესამე მხარის კლიენტი ჩვეულებრივ ელემენტს ინახავს თქვენს შესვლის შემკრებში: ზოგადი პაროლი სერვისის სახელზე გასაღებით ან ინტერნეტ პაროლი სერვერზე, პროტოკოლსა და ანგარიშზე გასაღებით. ბევრი ახალი აპი სამაგიეროდ მონაცემთა დაცვის შემკრებს იყენებს, რომლის ელემენტები არასდროს ჩნდება გასაღებების შემკრებზე წვდომაში.
ხალხი წვდომაში ეძებს VPN-ის სახელს, ვერ პოულობს ვერაფერს და ასკვნის, რომ პაროლი არ არის შენახული. Apple-ის TN3137 შენიშვნა ამბობს, რომ არსებობს შემკრების ერთზე მეტი იმპლემენტაცია; ამ სიაში არ ყოფნა ნორმალურია, არა გაფუჭებული ელემენტის მტკიცებულება.
ჩანაწერის ტიპებიც არ არის ურთიერთშემცვლელი. ანგარიშის პაროლი, პირადი გასაღების პაროლფრაზა, კლიენტის სერტიფიკატი და IPsec საერთო საიდუმლო სხვადასხვანაირად ფეილდება და სხვადასხვა ადგილას შესწორდება; შენახული პაროლის ხელახლა აკრეფა არაფერს აკეთებს უარყოფილი სერტიფიკატისთვის. თუ Mac მართვაშია რეგისტრირებული, პროფილი სხვა მფლობელია: VPN დატვირთვას შეუძლია მონაცემების ტარება და განახლებისას ხელახლა გამოყენება, ამიტომ ლოკალური ელემენტის წაშლა დროებითია, სანამ ადმინისტრატორი არ შეცვლის.
როცა შესვლის პაროლი და შემკრების პაროლი შორდებიან
შესვლის შემკრები ჩვეულებრივ იყენებს თქვენს Mac-ის შესვლის პაროლს, ამიტომ ორივე შეიძლება დაშორდეს. ადმინისტრატორის მიერ თქვენი პაროლის სხვა ანგარიშიდან გადაყენება, აღდგენის პროცესი ან კატალოგის ცვლილება შემკრებს ძველ მნიშვნელობაზე ჩაკეტილს დატოვებს და macOS მერე ითხოვს პაროლს, რომელიც ახლახან არ დაგიყენებიათ.
შესვლისას შეიძლება დაინახოთ გაფრთხილება, რომ სისტემამ შემკრები ვერ გახსნა. განახლებას ძველი პაროლი სჭირდება, რაც კარგია თუ გახსოვთ და უსარგებლოა თუ არა. ორი პატიოსანი შესწორებაა წვდომა გასაღებების შემკრებზე, რედაქტირება, პაროლის შეცვლა "login" შემკრებისთვის, ან ახალი შესვლის შემკრები საჭირო მონაცემების ხელახლა შეყვანით. მეორე ვარიანტი ანადგურებს შენახულ ელემენტებს.
ნუ გადააყენებთ მთელ შემკრებს იმიტომ, რომ ერთი VPN უარყოფს ძველ მონაცემებს: ეს დაუკავშირებელ ანგარიშებს შლის და ელემენტს მაინც არ იდენტიფიცირებს.
ერთი ბრძანება წყვეტს ლოკალური თუ შორეულის კითხვას. ჰკითხეთ შემკრებს ელემენტის შესახებ პირდაპირ:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gგამოიყენეთ სერვერი და ანგარიში თქვენი კლიენტის პარამეტრებიდან. თუ იგივე დადასტურების ფურცელი ჩნდება, როცა თავად ეკითხებით შემკრებს, მოთხოვნა ლოკალურია და სერვერი დამკვირვებელია. თუ ასეთი ელემენტი არ არსებობს, კლიენტი პაროლს არ ინახავს იქ, სადაც ფიქრობდით. -g დროშა საიდუმლოს ტერმინალში ბეჭდავს, ამიტომ აირიდეთ ეკრანის გაზიარება.
განაახლეთ ის ჩანაწერი, რომელსაც კლიენტი ნამდვილად კითხულობს
თუ ანგარიში კარიბჭეზე შეიცვალა, ჯერ იქ შეცვალეთ, შემდეგ განაახლეთ შენახული ჩანაწერი კლიენტის პარამეტრებით. შემკრების ელემენტის ხელით რედაქტირება საიმედო არ არის: კლიენტმა შეიძლება სხვა სერვის-ანგარიშის წყვილი წაიკითხოს და მართვადი პროფილი თქვენს ცვლილებას გადაწერს.
ეჭვმიტანილი მოძველებული ელემენტისთვის, სანამ რამეს წაშლით, შეუსაბამეთ სერვისი, ანგარიში და პროტოკოლი:
security delete-generic-password -s "Client Name" -a [email protected]სხვა კავშირიდან მსგავსი სახელის ელემენტის წაშლა გავრცელებული თვითშექმნილი შეფერხებაა. მოცილება მხოლოდ ლოკალურია: ის არ აუქმებს სეანსს კარიბჭეზე, არ ხსნის მოწყობილობის სერტიფიკატს და არ ცვლის ანგარიშის პაროლს.
დაადასტურეთ, რომ შესწორება გადაურჩება გადატვირთვას
დაუკავშირდით, გაიღვიძეთ ძილიდან, გამოხვედით და ისევ შეხვედით, შემდეგ ერთხელ გადატვირთეთ. სუფთა თანმიმდევრობა ფურცლის გარეშე და მოსალოდნელი ანგარიშის მომცემი კლიენტის სტატუსი ერთადერთი მტკიცებულებაა, რომელიც ითვლება. სად ბრუნდება მოთხოვნა, გეუბნებათ, რომელი შრე გამოტოვეთ: განახლების შემდეგ ეს დადასტურებაა, ქსელის ცვლილების შემდეგ თავად კლიენტის მოთხოვნა, გადატვირთვის შემდეგ მდგომარეობის ხელახლა გამომყენებელი პროფილი.
სანამ შემკრებს კვლავ შეეხებით, შეამოწმეთ კლიენტში პაროლის დამახსოვრების ან ყოველთვის კითხვის პარამეტრი. ზოგი კონფიგურაცია, განსაკუთრებით მომხმარებლის მიხედვით ავთენტიფიკაციის მქონე IKEv2, დიზაინით ყოველ კავშირზე იკითხავს; შემკრების შესწორება არ დაეხმარება.
ჩაწერეთ, რომელი ელემენტი შეცვალეთ, რომელი საცავი იყო მისი მფლობელი და რომელ ანგარიშს ეკუთვნოდა, რომ შემდეგი მოთხოვნა წამებში მოიძებნოს. Apple-ის გვერდი შემკრებზე წვდომის მოთხოვნები საცნობაროა იმის შესახებ, რასაც ეს სამი ღილაკი ანიჭებს უფლებას.