რატომ ითხოვს თქვენი Mac-ის VPN Keychain-ზე წვდომას ყოველ ჯერზე
დაადგინეთ, რომელი კომპონენტი იწვევს Mac-ის VPN-ის ყოველ შეტყობინებას, შეაჩერეთ ორმაგი დაკავშირების ცდები და შეაკეთეთ Keychain-ზე წვდომა მთელი გასაღებების კრებულის განულების გარეშე.
Connect-ზე ერთი დაწკაპუნება ერთი შესვლის ფანჯარას უნდა იძლეოდეს. Mac-ზე ის ხშირად სამს იძლევა და ისინი იშვიათად იზიარებენ ერთ მფლობელს: გასაღებების კრებული ფლობს ლოკალური სერტიფიკატების მოთხოვნებს, VPN-შესასვლელი ფლობს ავთენტიფიკაციას, ხოლო კლიენტი — საკუთარ შეტყობინებებს. ყველაფრის გაჩუმების ჩამრთველის ძებნის ნაცვლად, ყოველი ფანჯარა განიხილეთ როგორც ცალკე ხარვეზი საკუთარი შესწორებით. ქვემოთ მოცემული სახელმძღვანელო გადის ერთ განზრახ დაკავშირების ცდას და მთავრდება შემოწმებით, რომელიც შეგიძლიათ გაიმეოროთ.
დაასახელეთ ყოველი დიალოგის მფლობელი, სანამ შეცვლით პარამეტრს
პირველი ნაბიჯი აღრიცხვაა, არა კონფიგურაცია. გააკეთეთ ერთი დაკავშირების ცდა და ყოველი გამოჩენილი ფანჯრისთვის ჩაწერეთ ოთხი ველი: დიალოგში ნაჩვენები აპის სახელი, ზუსტი ტექსტი ყოველგვარი საიდუმლოს გარეშე, ეტაპი, რომელშიც ის გამოჩნდა, და რა მოხდა, როცა გააუქმეთ იგი. სამი ასეთი სტრიქონი ფარავს თითქმის ყველა ჩემს ნანახ ანგარიშს.
მფლობელობა განსაზღვრავს სწორ შესწორებას, და არასწორი შესწორება ჩვეულებრივ არის ის, რაც ერთ მოთხოვნას სამად აქცევს:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
მოთხოვნა, რომელიც ბრუნდება იმავე ცდის შიგნით, სხვა სიგნალია, ვიდრე ის, რაც ბრუნდება შემდეგ ცდაზე. პირველი ჩვეულებრივ ნიშნავს, რომ კავშირი თქვენ ქვეშ გადაიტვირთა; მეორე ჩვეულებრივ ნიშნავს, რომ შენახული სერტიფიკატი კვლავ ითხოვება. ჩაწერეთ, რომელი გაქვთ, სანამ შეეხებით გასაღებების კრებულს, რადგან ამ ორს თითქმის არაფერი აქვს საერთო.
გაარკვიეთ, რამდენი რამ იწყებს გვირაბს
ოთხ მექანიზმს შეუძლია იმავე VPN-ის გაშვება Mac-ზე: მენიუს ზოლის მოქმედება, შესვლის ელემენტი, On Demand წესი და სკრიპტი ან აგენტი. როცა ორი მათგანი აქტიურდება, მეორე გაშვება შეიძლება მოვიდეს, სანამ პირველი ჯერ კიდევ ელოდება ავთენტიფიკაციას, რაც ქმნის ორმაგ ფანჯარას და არავითარ პროგრესს. ჯერ ჩამოთვალეთ, რა არის კონფიგურირებული: scutil --nc list ბეჭდავს სისტემის პარამეტრებისთვის ცნობილ VPN სერვისებს მათი მიმდინარე მდგომარეობით. კლიენტები, რომლებიც მოაქვთ საკუთარი ქსელური გაფართოება, პროფილებს აპის შიგნით ინახავენ და იქ შეიძლება არ გამოჩნდნენ, ამიტომ შეამოწმეთ თავად კლიენტის კავშირების სიაც.
შემდეგ მოძებნეთ კონკურენტი გამშვები. scutil --nc show "Work VPN" ბეჭდავს ჩაშენებული სერვისის კონფიგურაციის ლექსიკონს, On Demand წესების ჩათვლით; წესი, რომელიც ხელახლა უკავშირდება ინტერფეისის ნებისმიერ ცვლილებაზე, გადატვირთავს გვირაბს — და ხელახლა გახსნის ავთენტიფიკაციის მოთხოვნას — ყოველ ჯერზე, როცა Wi-Fi მოძრაობს ან ეკრანი აღვიძებს ქსელურ სტეკს. შეამოწმეთ შესვლის ელემენტები სისტემის პარამეტრები > ზოგადი > შესვლის ელემენტები განყოფილებაში და ჩამოთვალეთ მომხმარებლის აგენტები ამით ls ~/Library/LaunchAgents. დატოვეთ უძრავად ყველაფერი, რაც ეკუთვნის MDM-ით მართულ უსაფრთხოების სტეკს; მისი წაშლა ჩვეულებრივ უკან იბრუნება შემდეგ შემოწმებაზე.
იმის სანახავად, თუ რა მუშაობს რეალურად ცდის დროს: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. ორი კლიენტის დამხმარე იქ, სადაც ერთს ელოდებით, ხსნის „რატომ მივიღე ორი მოთხოვნა“ გაცილებით ხშირად, ვიდრე სერტიფიკატების რომელიმე პრობლემა.
შეაკეთეთ გასაღებების კრებულზე წვდომა მისი განულების გარეშე
მოთხოვნა მოდის შენახული ელემენტის წვდომის კონტროლის სიიდან და არა VPN პროტოკოლიდან. ყოველი ელემენტი იწერს, რომელ აპლიკაციებს შეუძლიათ მისი წაკითხვა კითხვის გარეშე. კლიენტის განახლების შემდეგ მოთხოვნის დამხმარეს შეიძლება ჰქონდეს სხვა სახელი ან ხელმოწერა, მაშინ როცა ელემენტი ჯერ კიდევ ძველს ჩამოთვლის, ამიტომ macOS ყოველ კავშირზე ისევ იკითხავს. ახალი დამხმარის დამტკიცება სწორედ ამ ერთი ელემენტისთვის არის მთელი შესწორება; ყოველი აპლიკაციის დამტკიცება — არა.
შეგიძლიათ დაადასტუროთ, რომ მიზეზი ACL-ია, VPN-ზე შეხების გარეშე: security find-generic-password -s "service-name" -g კითხულობს იმავე ელემენტს ტერმინალიდან. თუ ეს ბრძანებაც იწვევს მოთხოვნას, დიალოგი გასაღებების კრებულს ეკუთვნის და გვირაბი მხოლოდ გამომწვევია. Apple-ის გზამკვლევი სამი ღილაკის შესახებ — ერთხელ დაშვება, ყოველთვის დაშვება, უარყოფა — ერთხელ წაკითხვად ღირს, რადგან სწორედ უარყოფა აბრუნებს მოთხოვნას მაშინვე და არა შემდეგ ცდაზე.
თუ არასწორი დამხმარე დაამტკიცეთ, გახსენით ელემენტი Keychain Access-ში, გადადით Access Control-ზე და წაშალეთ ეს ჩანაწერი; ეს არის უკან დაბრუნება. შესვლის გასაღებების კრებულის წაშლა, ან მისი ხელახლა აგების ინსტრუმენტის გაშვება, ასევე ყრის დაუკავშირებელ პაროლებს და გაცილებით დიდი ცვლილებაა, ვიდრე პრობლემა.
შეინახეთ შესვლისა და პოლიტიკის ნაბიჯები იმ ნაკადებში, რომლებიც მათ ფლობენ
ბრაუზერით შესვლა ან MFA გამოწვევა შესასვლელს ეკუთვნის. თუ თქვენი ორგანიზაცია გთავაზობთ სესიის შენარჩუნებას ან სერტიფიკატზე დაფუძნებულ ავთენტიფიკაციას, გამოიყენეთ ის, რადგან ეს არის ნაკლებად ხშირი ავთენტიფიკაციის მხარდაჭერილი გზა. კლიენტში ფიქსირებული კოდის აკრეფა, ან სკრიპტში პაროლის შენახვა, რომ მოთხოვნა არასდროს გამოჩნდეს, ინტერაქტიულ ფაქტორს სტატიკური საიდუმლოთი ცვლის და ვარდება მომდევნო ჯერზე, როცა პოლიტიკა იცვლება.
ორგანიზაციის შეტყობინებები ერთადერთი კატეგორიაა, რომელიც არ უნდა ჩაახშოთ. ისინი ჩვეულებრივ ახდენენ პოზის შემოწმებას ან მისაღები გამოყენების დადასტურებას, და მათი დამალვა მოწყობილობას შესაბამისობიდან გამოიყვანს მაშინაც, როცა გვირაბი მუშაობს. შეცდომის დიალოგები მეორე კატეგორიაა: შეინახეთ პირველი შეცდომის ტექსტი, რადგან მეორე დიალოგი ხშირად იგივე წარუმატებლობაა, რომელიც ხელახალი ცდის შემდეგ ფიქსირდება.
შეამოწმეთ ერთი ცდით, შემდეგ გადატვირთვის შემდეგ
ორმაგი გამშვების მოცილებისა და გასაღებების კრებულის ჩანაწერის შეკეთების შემდეგ გააკეთეთ ერთი ცდა: დახურეთ კლიენტის ყოველი ეგზემპლარი, მენიუს ზოლის დამხმარის ჩათვლით, დაუკავშირდით ერთხელ და დათვალეთ ფანჯრები. გსურთ გასაღებების კრებულის დამტკიცება, თუ ელემენტი ხელახლა აშენდა, და ერთი ავთენტიფიკაციის ნაბიჯი. მეტი არაფერი. scutil --nc status "Work VPN" უნდა მოგვაწოდოს Connected ჩაშენებული სერვისისთვის.
შემდეგ გადატვირთეთ ერთხელ და გაიმეორეთ. მოთხოვნა, რომელიც ბრუნდება მხოლოდ გადატვირთვის შემდეგ, მიუთითებს შესვლის ელემენტზე ან On Demand წესზე და არა სერტიფიკატებზე; ის, რომელიც ბრუნდება სესიის შიგნით, მიუთითებს ACL-ზე ან მეორე გამშვებზე. თუ ორივე გავლის შემდეგ კვლავ მეორდება, სასარგებლო რამ, რაც ადმინისტრატორს უნდა გადასცეთ, არის პირველი ცდის სამსტრიქონიანი ცხრილი — მფლობელი, ზუსტი ტექსტი, ეტაპი — და არა დიალოგის ეკრანის სურათი.
მიზანი ნაკლები მოთხოვნაა და არა ჩუმი. კავშირი, რომელიც მალავს თავის ავტორიზაციის ნაბიჯებს, კავშირია, რომლის აუდიტიც აღარ შეგიძლიათ, და სერტიფიკატების შემდეგი როტაცია დაგხვდებათ ისე, რომ არ იცით, რომელი კომპონენტი ვარდება.