Mac'теги VPN эмне үчүн ар жолу Keychain'ге кирүүнү сурайт
Mac VPN'инин ар бир сурамын кайсы компонент жаратканын аныктаңыз, кайталанма туташуу аракеттерин токтотуңуз жана бүтүндөй ачкычтар топтомун баштапкы абалга келтирбестен Keychain кирүүсүн оңдоңуз.
Connect баскычын бир басуу бир кирүү терезесин чыгарышы керек. Mac'те ал көп учурда үч терезе чыгарат жана алар сейрек бир ээсин бөлүшөт: жергиликтүү каттоо маалыматтарынын сурамдарынын ээси — Keychain, VPN дарбазасы аутентификациянын ээси, ал эми кардар өзүнүн билдирүүлөрүнүн ээси. Баарын тынч кыла турган которуштуруу баскычын издегендин ордуна, ар бир терезени өзүнүн оңдоосу бар өзүнчө кемчилик катары караңыз. Төмөнкү нускама бир атайын туташуу аракетинен өтүп, кайталай алган текшерүү менен бүтөт.
Жөндөөнү өзгөртүүдөн мурун ар бир диалогдун ээсин атаңыз
Биринчи кадам — конфигурация эмес, эсеп. Бир туташуу аракетин жасап, пайда болгон ар бир терезе үчүн төрт талаа жазыңыз: диалогдо көрсөтүлгөн колдонмо аты, сырсыз так текст, ал пайда болгон баскыч жана аны жокко чыгарганда эмне болгону. Ушундай үч сап мен көргөн дээрлик бардык отчётту камтыйт.
Ээлик туура оңдоону аныктайт, ал эми туура эмес оңдоо адатта бир сурамды үчкө айландырат:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Ошол эле аракеттин ичинде кайтып келген сурам кийинки аракетте кайтып келгенден башка сигнал. Биринчиси адатта байланыш сиздин астыңызда кайра башталганын билдирет; экинчиси адатта сакталган каттоо маалыматы кайра суралып жатканын билдирет. Ачкычтар топтомун кармаардан мурун кайсынысы бар экенин жазып коюңуз, анткени бул экөөнүн дээрлик эч нерсеси жок.
Туннелди канча нерсе баштап жатканын аныктаңыз
Mac'те бир VPN'ди төрт механизм баштай алат: меню тилкесиндеги аракет, кирүү элементи, On Demand эрежеси жана скрипт же агент. Алардын экөө күйгөндө, экинчи баштоо биринчиси дагы эле аутентификацияны күтүп турганда келиши мүмкүн, бул кайталанма терезе жана эч кандай илгерилөө бербейт. Адегенде эмне конфигурацияланганын тизмелеңиз: scutil --nc list Системалык жөндөөлөр билген VPN кызматтарын учурдагы абалы менен чыгарат. Өз тармактык кеңейтүүсүн алып жүргөн кардарлар профилдерди колдонмонун ичинде кармашат жана ал жерде көрүнбөшү мүмкүн, андыктан кардардын өз туташуулар тизмесин да текшериңиз.
Андан кийин атаандаш баштоочуларды издеңиз. scutil --nc show "Work VPN" курулган кызматтын конфигурация сөздүгүн, анын ичинде On Demand эрежелерин чыгарат; интерфейс өзгөргөндө кайра туташкан эреже Wi-Fi жылганда же дисплей тармак стекти ойготкондо туннелди кайра баштайт — жана аутентификация сурамын кайра ачат. Кирүү элементтерин Системалык жөндөөлөр > Жалпы > Кирүү элементтери астында текшериңиз жана колдонуучу боюнча агенттерди муну менен тизмелеңиз ls ~/Library/LaunchAgents. MDM башкарган коопсуздук стекке таандык нерсеге тийбеңиз; аны жок кылуу адатта кийинки текшерүүдө кайтарылат.
Аракет учурунда чындыгында эмне иштеп жатканын көрүү үчүн: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Бирди күткөн жерде эки кардар жардамчысынын болушу «эмне үчүн эки сурам алдым» дегенди кандайдыр бир каттоо маалыматы маселесинен алда канча көп түшүндүрөт.
Ачкычтар топтомун баштапкы абалга келтирбестен Keychain кирүүсүн оңдоңуз
Сурам сакталган элементтин кирүүнү көзөмөлдөө тизмесинен келет, VPN протоколунан эмес. Ар бир элемент кайсы колдонмолор аны сурабастан окуй аларын жазат. Кардар жаңыртылгандан кийин сураган жардамчынын аты же кол тамгасы башка болушу мүмкүн, ал эми элемент дагы эле эскисин тизмелеп турат, ошондуктан macOS ар бир туташууда кайра сурайт. Жаңы жардамчыны так ошол бир элемент үчүн уруксаттоо — бүт оңдоо; бардык колдонмолорду уруксаттоо эмес.
VPN'ге тийбестен ACL себеп экенин текшере аласыз: security find-generic-password -s "service-name" -g ошол эле элементти терминалдан окуйт. Эгер ал буйрук да сурам чыгарса, диалог ачкычтар топтомуна таандык, ал эми туннел жөн гана түрткү. Apple'дын үч баскыч тууралуу нускамасы — Бир жолу уруксат берүү, Ар дайым уруксат берүү, Баш тартуу — бир жолу окууга татыктуу, анткени дал Баш тартуу сурамды кийинки аракетте эмес, дароо кайтарат.
Эгер туура эмес жардамчыны уруксаттаган болсоңуз, элементти Keychain Access'те ачып, Access Control бөлүмүнө өтүп, ошол жазууну алып салыңыз; бул — артка кайтаруу. Кирүү ачкычтар топтомун жок кылуу же аны кайра куруучу оңдоо куралын иштетүү да байланышы жок сырсөздөрдү ыргытат жана маселеден алда канча чоң өзгөрүү.
Кирүү жана саясат кадамдарын аларга таандык агымдарда кармаңыз
Браузер аркылуу кирүү же MFA чакырыгы дарбазага таандык. Эгер уюмуңуз сессияны сактоону же сертификатка негизделген аутентификацияны сунуштаса, аны колдонуңуз, анткени бул сейрек аутентификациялоонун колдоого алынган жолу. Кардарга туруктуу код теруу же сурам эч качан чыкпашы үчүн скриптте сырсөз сактоо интерактивдүү факторду статикалык сыр менен алмаштырат жана кийинки жолу саясат алмашканда ийгиликсиз болот.
Уюмдун билдирүүлөрү — басууга болбой турган жалгыз категория. Алар адатта абалды текшерүүнү же жарактуу колдонууну ырастоону талап кылат, ал эми аларды жашыруу туннел иштеп турганда да түзмөктү шайкештиктен чыгарышы мүмкүн. Ката диалогдору — экинчи категория: биринчи катанын текстин сактаңыз, анткени экинчи диалог көбүнчө кайра аракеттен кийин билдирилген ошол эле ийгиликсиздик.
Бир аракет менен, андан кийин кайра жүктөөдөн кийин текшериңиз
Кайталанма баштоочулар алынып, ачкычтар топтомунун жазуусу оңдолгондон кийин бир аракет жасаңыз: меню тилкесинин жардамчысын кошкондо кардардын ар бир нускасын жабыңыз, бир жолу туташыңыз жана терезелерди санаңыз. Сизге ачкычтар топтомунун уруксаты, эгер элемент кайра курулса, жана бир аутентификация кадамы керек. Андан ашык эмес. scutil --nc status "Work VPN" курулган кызмат үчүн Connected билдириши керек.
Андан кийин бир жолу кайра жүктөп, кайталаңыз. Кайра жүктөөдөн кийин гана кайтып келген сурам кирүү элементине же On Demand эрежесине көрсөтөт, каттоо маалыматына эмес; сессиянын ичинде кайтып келгени ACL'ге же экинчи баштоочуга көрсөтөт. Эгер эки өтүүдөн кийин да кайталанса, администраторуңузга берүүгө пайдалуу нерсе — биринчи аракеттин үч саптуу таблицасы: ээси, так текст, баскыч — диалогдун скриншоту эмес.
Максат — азыраак сурам, тынч сурам эмес. Өзүнүн уруксат берүү кадамдарын жашырган туташуу — мындан ары аудиттей албаган туташуу, жана кийинки сертификат айлануусу кайсы компонент ийгиликсиз болуп жатканын билбей кармайт.