Mac freet ëmmer erëm no VPN-Passwuert: Schlëssebband oder Kont?
Den Mac kann d'Passwuert vum Login-Schlëssebband, en Administrateurspasswuert oder de VPN-Kont selwer froen. Liest wiem den Dialog gehéiert, an dann reparéiert de richtege Späicher.
Dir entspaart den Mac, öffnet de VPN-Client, an eng Passwuertsschäin erschéngt, ier den Tunnel iwwerhaapt ugefaangen huet. Dir tippt d'Passwuert vum Gateway an et gëtt entweder ofgelehnt oder d'Schäin kënnt e Moment méi spéit zréck. Duerno freet et nach eng Kéier nom Erwächen aus dem Schlof, nom Ausloggen oder no engem Client-Update. Déi Schäin ass selten de VPN-Server, dee Client-Authentifikatioun freet; meeschtens freet macOS no Erlaabnis, ee lokale Rekord ze liesen, z'entspären oder ze änneren, an d'Passwuert gehéiert dem Besëtzer vun deem Rekord, net Ärem VPN-Kont.
Passt d'Schäin un d'Identitéit hannendrun un
Véier Prompte gesinn bal identesch aus, an nëmmen een betrëfft de Gateway. D'Formuléierung, de Prozess, dee Zougang freet, an den Element, dee drënner genannt gëtt, soe Iech, wéien Dir virun Iech hutt.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
En Dialog iwwer lokalen Zougang beweist näischt iwwer de Server. Eng Oflehnung vum Gateway erschéngt am Client mam Feelertext vum Hiersteller, net als Systemschäin, déi ubitt, e Schlëssebband z'entspären. Ëmgekéiert ass et grad esou heefeg: d'Gateway-Passwuert an eng Schlëssebband-Schäin ze tippen léisst de Rekord gespaart an addéiert en Ofbrochversuch.
Den Dialog nennt e Besëtzer, e Späicher an eng Aktioun
D'Prompte vum Schlëssebband ginn iwwert d'Ofruff, net iwwert d'Authentifikatioun bei eppes Wäitem. Dem Apple seng Beschreiwung vum Ufro-Dialog ass enk: Eemol erlaben, Ëmmer erlaben an Ofleenen kontrolléieren, ob déi App den gespäicherten Element liesen däerf. Keng vun den dräi gëtt eng Berechtegung um Gateway an ännert net, wat de Server iwwer Äert Passwuert denkt.
Wann de Froenden e Client ass, dee grad aktualiséiert gouf, ass eng nei Genehmegung ze erwaarden: den neie Build passt net méi zu der Zougangskontrolllëscht vum Element, also freet macOS nach eng Kéier. Äntwert wärend der Diagnos Eemol erlaben. Ëmmer erlaben ass eng stänneg Erlaabnis fir déi App an déi falsch Äntwert fir en Hëllefsprozess, deen Dir net erwaart hutt; leent of a kontrolléiert beim Hiersteller, wann d'Binär net de Client ass, deen Dir installéiert hutt.
En Prompt, deen Administrateursautorisatioun freet, ass eng drëtt Zort. Et nennt eng Systemastellung oder e geschützte Späicher, dee geännert gëtt, an d'Authentifikatioun, déi et wëll, ass en Administrateurskont op dësem Mac. Net all perséinlechen Element vum Schlëssebband brauch dat; déi hannert der Netzwierkkonfiguratioun brauchen et meeschtens, well d'Konfiguratioun zum System gehéiert, net Ärer Login-Sessioun.
Wou e VPN-Passwuert op engem Mac liewen kann
De Schlëssebband ass ee méigleche Späicher, net d'Definitioun vun engem Späicher. Eng agebaut VPN-Konfiguratioun, déi an den Systemastellungen ugeluegt gouf, hält hir Authentifikatioun beim Netzwierkkonfiguratioun, als verwalt Systemastellung. En Drëtt-Client hält meeschtens en Element an Ärem Login-Schlëssebband: en allgemengt Passwuert mat Schlëssel iwwer en Déngschtnumm oder en Internetpasswuert mat Schlëssel iwwer Server, Protokoll a Kont. Vill méi nei Appen benotze stattdessen de Date-Schutz-Schlëssebband, deem seng Elementer ni am Zougang zum Schlëssebband erschéngen.
D'Leit sichen am Zougang zum Schlëssebband nom VPN-Numm, fannen näischt a schléissen, datt d'Passwuert net gespäichert ass. Dem Apple seng TN3137-Notiz seet, datt et méi wéi eng Implementsetzung vum Schlëssebband gëtt; d'Feele vun där Lëscht ass normal, keen Beweis fir en defekten Element.
D'Rekordtypen sinn och net austauschbar. En Kontpasswuert, eng Passphrase vun engem private Schlëssel, en Clientzertifikat an e gemeinsame IPsec-Geheimnis versoe verschidde a ginn op verschiddene Plazen reparéiert; e gespäichert Passwuert nach eng Kéier ze tippen hëlleft net bei engem ofgelehnte Zertifikat. Wann den Mac an der Verwaltung ageschriwwen ass, ass de Profil en anere Besëtzer: eng VPN-Load kann Authentifikatioun droen an se beim Erneieren erëm uwenden, also ass d'Läschen vun engem lokalen Element temporär, bis en Administrateur et ännert.
Wann d'Login-Passwuert an d'Schlëssebband-Passwuert auseneen driften
De Login-Schlëssebband benotzt normalerweis Äert Mac-Login-Passwuert, dofir kënnen déi zwou auseneen driften. En Administrateur, deen Äert Passwuert vun engem anere Kont aus zrécksetzt, e Restauratiounsfloss oder eng Ännerung am Verzeechnes kënnen de Schlëssebband op den ale Wäert gespaart loossen, an dann freet macOS no engem Passwuert, dat Dir just net agestallt hutt.
Beim Login kënnt Dir eng Warnung gesinn, datt de System de Schlëssebband net konnt entspären. Fir en z'aktualiséieren, brauch een dat aalt Passwuert, wat gutt ass, wann Dir et erënnert, an nëtzlos, wann net. Déi zwou éierlech Reparaturen sinn Zougang zum Schlëssebband, Änneren, Passwuert fir de Schlëssebband "login" änneren, oder en neie Login-Schlëssebband mat den néidegen Authentifikatiounen, déi nach eng Kéier agi goufen. Déi zweet Optioun zerstéiert gespäichert Elementer.
Setzt net de ganzen Schlëssebband zréck, well eng VPN eng al Authentifikatioun oflehnt: dat hëlt onverbonne Konten ewech an identifizéiert den Element nach ëmmer net.
Een Befehl entscheet d'Fro lokal géint wäit ewech. Freet de Schlëssebband direkt no dem Element:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gBenotzt de Server an de Kont aus den Astellunge vun Ärem Client. Wann déiselwecht Genehmegungsschäin erschéngt, wann Dir selwer de Schlëssebband freet, ass de Prompt lokal an de Server ass Zuschauer. Wann et sou en Element net gëtt, späichert de Client d'Passwuert net do, wou Dir ugeholl hutt. De Flag -g dréckt de Geheimnis am Terminal, also vermeit Bildschiirmdeelen.
Aktualiséiert de Rekord, deen de Client wierklech liest
Wann de Kont um Gateway geännert gëtt, ännert en als éischt do, an aktualiséiert duerno de gespäicherte Rekord iwwer d'Astellungen vum Client. En Element vum Schlëssebband vun Hand z'änneren ass onzouverlässeg: de Client liest vläicht en anert Déngscht-a-Kont-Puer, an e verwaltente Profil iwwerschreift Är Ännerung.
Fir en Element, deen als veralt versuergt gëtt, passt Déngscht, Kont a Protokoll un, ier Dir eppes läscht:
security delete-generic-password -s "Client Name" -a [email protected]En ähnlech genannten Element vun enger anerer Verbindung läschen ass en heefegen, selwer verursaachten Ausfall. D'Entfernung ass nëmme lokal: et widerrifft keng Sessioun um Gateway, entkoppelt keen Apparatzertifikat an ännert net d'Passwuert vum Kont.
Bestätegt, datt d'Reparatur en Neistart iwwersteet
Verbënnt, erwächt aus dem Schlof, loggt aus an erëm an, an startet dann eemol nei. Eng propper Sequenz ouni Schäin an e Clientstatus, deen dee erwaarte Kont nennt, sinn deen eenzegen Beweis, deen zielt. Wou de Prompt zréckkënnt, seet Iech, wéi eng Schicht Dir verpasst hutt: nom Update d'Genehmegung, no enger Netzwierkännerung de Prompt vum Client selwer, nom Neistart e Profil, deen de Status erëm uwenden.
Kuckt am Client no enger Astellung fir d'Passwuert ze erënneren oder ëmmer ze froen, ier Dir de Schlëssebband nach eng Kéier beréiert. E puer Konfiguratiounen, besonnesch IKEv2 mat Authentifikatioun pro Benotzer, froen aus Design bei all Verbindung; eng Reparatur vum Schlëssebband hëlleft net.
Schreift op, wéien Element Dir geännert hutt, wéie Späicher en hat a wéie Kont et gehéiert huet, sou datt den nächsten Prompt a Sekonnen ze placéieren ass. Dem Apple seng Säit Ufroe fir Zougang zum Schlëssebband ass d'Referenz dofir, wat déi dräi Knäppercher autoriséieren.