„Mac“ nuolat prašo VPN slaptažodžio: raktinė ar paskyra?
„Mac“ gali prašyti prisijungimo raktinės slaptažodžio, administratoriaus slaptažodžio arba pačios VPN paskyros. Perskaitykite, kam priklauso dialogas, ir sutaisykite tinkamą saugyklą.
Atrakinote „Mac“, atidarote VPN klientą, ir slaptažodžio lapas pasirodo dar neprasidėjus tuneliui. Įvedate šliuzo slaptažodį, ir jis arba atmetamas, arba lapas grįžta po akimirkos. Tada jis vėl klausia po pabudimo iš miego, atsijungimo ar kliento atnaujinimo. Tas lapas retai būna VPN serveris, prašantis prisijungimo duomenų; dažniausiai macOS prašo leidimo skaityti, atrakinti ar keisti vietinį įrašą, o slaptažodis priklauso to įrašo savininkui, ne jūsų VPN paskyrai.
Suderinkite lapą su tapatybe, kuri už jo slypi
Keturi raginimai atrodo beveik vienodai, ir tik vienas susijęs su šliuzu. Formuluotė, prieigos prašantis procesas ir žemiau nurodytas elementas pasako, su kuriuo susidūrėte.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialogas apie vietinę prieigą nieko neįrodo apie serverį. Šliuzo atmetimas rodomas kliento viduje su tiekėjo klaidos tekstu, o ne kaip sistemos lapas, siūlantis atrakinti raktinę. Priešingai taip pat dažna: šliuzo slaptažodžio įvedimas raktinės lape palieka įrašą užrakintą ir prideda nepavykusį bandymą.
Dialogas įvardija savininką, saugyklą ir veiksmą
Raktinės raginimai susiję su gavimu, o ne su autentifikavimu prieš ką nors nuotolinį. „Apple“ prašymo dialogo aprašymas siauras: Leisti kartą, Visada leisti ir Atmesti kontroliuoja, ar ta programa gali skaityti išsaugotą elementą. Nė vienas iš trijų nesuteikia teisės šliuze ir nekeičia to, ką serveris mano apie jūsų slaptažodį.
Kai prašytojas yra ką tik atnaujintas klientas, pakartotinis patvirtinimas tikėtinas: nauja versija nebeatitinka elemento prieigos kontrolės sąrašo, todėl macOS vėl klausia. Diagnozuodami atsakykite Leisti kartą. Visada leisti yra nuolatinis leidimas tai programai ir neteisingas atsakymas netikėtam pagalbiniam procesui; atmeskite ir pasitikrinkite tiekėją, jei dvejetainis failas nėra jūsų įdiegtas klientas.
Raginimas prašyti administratoriaus įgaliojimo yra trečia rūšis. Jis įvardija keičiamą sistemos nustatymą ar apsaugotą saugyklą, o prašomi prisijungimo duomenys yra administratoriaus paskyra šiame „Mac“. Ne kiekvienam asmeniniam raktinės elementui to reikia; tiems, kurie yra už tinklo konfigūracijos, paprastai reikia, nes konfigūracija priklauso sistemai, o ne jūsų prisijungimo sesijai.
Kur „Mac“ gali gyventi VPN slaptažodis
Raktinė yra viena galima saugykla, o ne saugyklos apibrėžimas. „Sistemos nustatymuose“ sukurta integruota VPN konfigūracija laiko prisijungimo duomenis kartu su tinklo konfigūracija kaip valdomą sistemos nustatymą. Trečiosios šalies klientas paprastai laiko elementą jūsų prisijungimo raktinėje: bendrą slaptažodį su raktu pagal paslaugos pavadinimą arba interneto slaptažodį su raktu pagal serverį, protokolą ir paskyrą. Daugelis naujesnių programų vietoj to naudoja duomenų apsaugos raktinę, kurios elementai niekada nerodomi „Raktinės prieigoje“.
Žmonės „Raktinės prieigoje“ ieško VPN pavadinimo, nieko neranda ir daro išvadą, kad slaptažodis neišsaugotas. „Apple“ TN3137 pastaba sako, kad egzistuoja daugiau nei viena raktinės realizacija; nebuvimas tame sąraše yra normalu, o ne sugedusio elemento įrodymas.
Įrašų tipai taip pat nepakeičiami. Paskyros slaptažodis, privataus rakto slaptafrazė, kliento sertifikatas ir bendras IPsec slaptasis raktas nepavyksta skirtingai ir taisomi skirtingose vietose; iš naujo įvesti išsaugotą slaptažodį nieko neduoda atmestam sertifikatui. Jei „Mac“ įtrauktas į valdymą, profilis yra dar vienas savininkas: VPN naudingoji apkrova gali nešti prisijungimo duomenis ir juos iš naujo taikyti atnaujinant, todėl vietinio elemento trynimas yra laikinas, kol administratorius jo nepakeis.
Kai prisijungimo slaptažodis ir raktinės slaptažodis išsiskiria
Prisijungimo raktinė paprastai naudoja jūsų „Mac“ prisijungimo slaptažodį, todėl abu gali išsiskirti. Administratorius, atkūręs jūsų slaptažodį iš kitos paskyros, atkūrimo eiga ar katalogo pakeitimas gali palikti raktinę užrakintą prie senosios reikšmės, ir tada macOS prašo slaptažodžio, kurio ką tik nenustatėte.
Prisijungdami galite pamatyti įspėjimą, kad sistema negalėjo atrakinti raktinės. Jai atnaujinti reikia seno slaptažodžio, o tai gerai, jei jį prisimenate, ir beprasmiška, jei ne. Du sąžiningi sprendimai yra „Raktinės prieiga“, Redaguoti, Keisti raktinės „login“ slaptažodį, arba nauja prisijungimo raktinė, iš naujo įvedus reikiamus prisijungimo duomenis. Antrasis variantas sunaikina išsaugotus elementus.
Nenustatykite iš naujo visos raktinės vien todėl, kad viena VPN atmeta senus duomenis: tai pašalina nesusijusias paskyras ir vis tiek neidentifikuoja elemento.
Viena komanda išsprendžia vietinio ir nuotolinio klausimą. Paklauskite raktinės tiesiogiai apie elementą:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gNaudokite serverį ir paskyrą iš kliento nustatymų. Jei tas pats patvirtinimo lapas pasirodo, kai patys klausiate raktinės, raginimas yra vietinis, o serveris tėra stebėtojas. Jei tokio elemento nėra, klientas nesaugo slaptažodžio ten, kur manėte. Vėliavėlė -g išspausdina paslaptį terminale, todėl venkite ekrano bendrinimo.
Atnaujinkite įrašą, kurį klientas iš tikrųjų skaito
Jei paskyra pasikeitė šliuze, pirmiausia pakeiskite ją ten, tada atnaujinkite išsaugotą įrašą per kliento nustatymus. Rankinis raktinės elemento redagavimas nepatikimas: klientas gali skaityti kitą paslaugos ir paskyros porą, o valdomas profilis perrašys jūsų pakeitimą.
Jei elementas įtariamas pasenęs, suderinkite paslaugą, paskyrą ir protokolą prieš ką nors trindami:
security delete-generic-password -s "Client Name" -a [email protected]Panašiai pavadinto elemento iš kitos jungties trynimas yra dažnas paties sukeliamas sutrikimas. Pašalinimas yra tik vietinis: jis neatšaukia sesijos šliuze, neatriša įrenginio sertifikato ir nekeičia paskyros slaptažodžio.
Patvirtinkite, kad pataisa išlieka po perkrovimo
Prisijunkite, pabuskite iš miego, atsijunkite ir vėl prisijunkite, tada kartą perkraukite. Švari seka be lapo ir kliento būsena, nurodanti laukiamą paskyrą, yra vienintelis įrodymas, kuris skaičiuojamas. Kur raginimas grįžta, pasako, kurio sluoksnio praleidote: po atnaujinimo tai patvirtinimas, po tinklo pakeitimo paties kliento raginimas, po perkrovimo profilis, iš naujo taikantis būseną.
Prieš vėl liesdami raktinę patikrinkite kliente slaptažodžio įsiminimo ar visada klausti nustatymą. Kai kurios konfigūracijos, ypač IKEv2 su autentifikavimu pagal vartotoją, klausia pagal dizainą kiekvieno prisijungimo metu; raktinės taisymas nepadės.
Užsirašykite, kurį elementą pakeitėte, kuri saugykla jam priklausė ir kuriai paskyrai jis priklausė, kad kitas raginimas būtų atpažintas per sekundes. „Apple“ puslapis Raktinės prieigos prašymai yra nuoroda, ką tie trys mygtukai leidžia.