Mac-тегі VPN неге әр жолы Keychain-ге қатынауды сұрайды
Mac VPN-інің әрбір сұрауын қай компонент тудыратынын анықтаңыз, қайталанатын қосылу әрекеттерін тоқтатыңыз және бүкіл кілттер жинағын қалпына келтірмей Keychain қатынауын жөндеңіз.
Connect түймесін бір рет басу бір кіру терезесін шығаруы керек. Mac-те ол жиі үш терезе шығарады және олар сирек бір иесін бөліседі: жергілікті тіркелгі деректері сұрауларының иесі — Keychain, VPN шлюзі аутентификацияның иесі, ал клиент өз хабарламаларының иесі. Барлығын тыныштандыратын ауыстырып-қосқыш іздеудің орнына әр терезені өз түзетуі бар жеке ақау ретінде қарастырыңыз. Төмендегі нұсқаулық бір әдейі жасалған қосылу әрекетінен өтеді және қайталауға болатын тексеріспен аяқталады.
Параметрді өзгерту алдында әр диалогтың иесін атаңыз
Бірінші қадам — конфигурация емес, есеп. Бір қосылу әрекетін жасап, пайда болған әр терезе үшін төрт өрісті жазып алыңыз: диалогта көрсетілген қолданба атауы, құпиясыз дәл мәтін, ол пайда болған кезең және оны тоқтатқанда не болғаны. Осындай үш жол мен көрген әрбір есептің барлығын дерлік қамтиды.
Иелік дұрыс түзетуді анықтайды, ал дұрыс емес түзету әдетте бір сұрауды үшке айналдырады:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Сол әрекеттің ішінде қайта оралатын сұрау келесі әрекетте оралатын сұраудан басқа сигнал. Біріншісі әдетте қосылым сіздің астыңызда қайта іске қосылғанын білдіреді; екіншісі әдетте сақталған тіркелгі деректері қайта сұралып жатқанын білдіреді. Кілттер жинағын ұстамас бұрын қайсысы бар екенін жазып қойыңыз, өйткені бұл екеуінің ортақ ештеңесі жоқ.
Туннельді неше нәрсенің іске қосып жатқанын анықтаңыз
Mac-те бір VPN-ді төрт механизм іске қоса алады: мәзір жолағындағы әрекет, кіру элементі, On Demand ережесі және скрипт немесе агент. Олардың екеуі қосылғанда, екінші іске қосу біріншісі әлі аутентификацияны күтіп тұрғанда келуі мүмкін, бұл қайталанатын терезе мен ешбір ілгерілеуге әкелмейді. Алдымен ненің конфигурацияланғанын тізімдеңіз: scutil --nc list Жүйе параметрлері білетін VPN қызметтерін ағымдағы күйімен шығарады. Өз желілік кеңейтімін әкелетін клиенттер профильдерді қолданба ішінде ұстайды және онда көрінбеуі мүмкін, сондықтан клиенттің өз қосылымдар тізімін де тексеріңіз.
Содан кейін бәсекелес іске қосқыштарды іздеңіз. scutil --nc show "Work VPN" кірістірілген қызметтің конфигурация сөздігін, оның ішінде On Demand ережелерін шығарады; кез келген интерфейс өзгерісінде қайта қосылатын ереже Wi-Fi көшкенде немесе дисплей желілік стекті оятқанда туннельді қайта іске қосады — және аутентификация сұрауын қайта ашады. Кіру элементтерін Жүйе параметрлері > Жалпы > Кіру элементтері астында тексеріңіз және пайдаланушы бойынша агенттерді мынаумен тізімдеңіз ls ~/Library/LaunchAgents. MDM басқаратын қауіпсіздік стегіне тиесілі нәрсеге тиіспеніз; оны жою әдетте келесі тексеруде қайтарылады.
Әрекет кезінде шын мәнінде не жүріп жатқанын көру үшін: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Бірін күтетін жерде екі клиент көмекшісінің болуы «неге екі сұрау алдым» дегенді кез келген тіркелгі деректері мәселесінен әлдеқайда жиі түсіндіреді.
Кілттер жинағын қалпына келтірмей Keychain қатынауын жөндеңіз
Сұрау сақталған элементтің қатынауды басқару тізімінен келеді, VPN протоколынан емес. Әр элемент қандай қолданбалардың оны сұрамай оқи алатынын жазады. Клиент жаңартылғаннан кейін сұрайтын көмекшінің аты немесе қолтаңбасы басқа болуы мүмкін, ал элемент әлі ескіні тізімдеп тұр, сондықтан macOS әр қосылымда қайта сұрайды. Жаңа көмекшіні дәл сол бір элемент үшін мақұлдау — бүкіл түзету; барлық қолданбаны мақұлдау емес.
VPN-ге тиіспей-ақ ACL себеп екенін растай аласыз: security find-generic-password -s "service-name" -g сол элементті терминалдан оқиды. Егер бұл команда да сұрауды тудырса, диалог кілттер жинағына тиесілі, ал туннель тек түрткі. Apple-дың үш түйме туралы нұсқаулығы — Бір рет рұқсат ету, Әрқашан рұқсат ету, Бас тарту — бір рет оқуға тұрарлық, өйткені дәл Бас тарту сұрауды келесі әрекетте емес, бірден қайтарады.
Егер қате көмекшіні мақұлдасаңыз, элементті Keychain Access-те ашып, Access Control бөліміне өтіп, сол жазбаны жойыңыз; бұл — кері қайтару. Кіру кілттер жинағын жою немесе оны қайта құратын жөндеу құралын іске қосу да қатысы жоқ құпия сөздерді тастайды және мәселеден әлдеқайда үлкен өзгеріс.
Кіру және саясат қадамдарын оларға тиесілі ағындарда ұстаңыз
Браузер арқылы кіру немесе MFA шақыруы шлюзге тиесілі. Егер ұйымыңыз сеансты сақтауды немесе сертификатқа негізделген аутентификацияны ұсынса, оны қолданыңыз, өйткені бұл сирек аутентификацияланудың қолдау көрсетілген жолы. Клиентке тұрақты код теру немесе сұрау ешқашан шықпасын деп скриптте құпия сөз сақтау интерактивті факторды статикалық құпиямен алмастырады және келесі саясат ауысқанда сәтсіз болады.
Ұйым хабарламалары — басуға болмайтын жалғыз санат. Олар әдетте қалыпты тексеруді немесе қолайлы пайдалануды растауды талап етеді, ал оларды жасыру туннель жұмыс істеп тұрса да құрылғыны сәйкестіктен шығаруы мүмкін. Қате диалогтары — екінші санат: бірінші қатенің мәтінін сақтаңыз, өйткені екінші диалог көбіне қайта әрекеттен кейін хабарланған сол сәтсіздік.
Бір әрекетпен, содан кейін қайта жүктеуден кейін тексеріңіз
Қайталанатын іске қосқыштар жойылып, кілттер жинағының жазбасы жөнделгеннен кейін бір әрекет жасаңыз: мәзір жолағы көмекшісін қоса, клиенттің әр данасын жабыңыз, бір рет қосылыңыз және терезелерді санаңыз. Сізге кілттер жинағының мақұлдауы, егер элемент қайта құрылса, және бір аутентификация қадамы керек. Одан артық емес. scutil --nc status "Work VPN" кірістірілген қызмет үшін Connected хабарлауы керек.
Содан кейін бір рет қайта жүктеп, қайталаңыз. Тек қайта жүктеуден кейін оралатын сұрау кіру элементіне немесе On Demand ережесіне сілтейді, тіркелгі деректеріне емес; сеанс ішінде оралатын ACL-ге немесе екінші іске қосқышқа сілтейді. Егер екі өтуден кейін де қайталанса, әкімшіңізге беруге пайдалы нәрсе — бірінші әрекеттің үш жолды кестесі: иесі, дәл мәтін, кезең — диалогтың скриншоты емес.
Мақсат — азырақ сұрау, тыныш сұрау емес. Өз авторизация қадамдарын жасыратын қосылым — одан әрі аудиттей алмайтын қосылым, ал келесі сертификат айналымы қай компоненттің сәтсіздікке ұшырағанын білмей ұстайды.