Kodėl jūsų Mac VPN kiekvieną kartą prašo „Keychain“ prieigos
Nustatykite, kuris komponentas sukelia kiekvieną Mac VPN raginimą, sustabdykite pasikartojančius prisijungimo bandymus ir sutvarkykite „Keychain“ prieigą neiš naujo nenustatydami viso raktų rinkinio.
Vienas paspaudimas ant Connect turėtų duoti vieną prisijungimo langą. Mac kompiuteryje jis dažnai duoda tris, ir jie retai turi tą patį savininką: raktų rinkinys valdo vietinius prisijungimo duomenų raginimus, VPN tinklų vartai valdo autentifikaciją, o klientas – savo pačių pranešimus. Užuot ieškoję jungiklio, kuris viską nutildytų, traktuokite kiekvieną langą kaip atskirą defektą su savo pataisymu. Toliau pateiktas vadovas praveda vieną sąmoningą prisijungimo bandymą ir baigiasi patikra, kurią galite pakartoti.
Pavadinkite kiekvieno dialogo savininką prieš keisdami nustatymą
Pirmas žingsnis – apskaita, o ne konfigūracija. Atlikite vieną prisijungimo bandymą ir kiekvienam pasirodžiusiam langui užsirašykite keturis laukus: programos pavadinimą dialoge, tikslų tekstą be jokių paslapčių, etapą, kuriame jis pasirodė, ir tai, kas nutiko jį atšaukus. Trys tokios eilutės apima beveik visas man matytas ataskaitas.
Nuosavybė lemia teisingą pataisymą, o neteisingas pataisymas paprastai ir paverčia vieną raginimą trimis:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Raginimas, kuris grįžta per tą patį bandymą, yra kitoks signalas nei tas, kuris grįžta per kitą bandymą. Pirmasis paprastai reiškia, kad ryšys buvo paleistas iš naujo po jumis; antrasis paprastai reiškia, kad vėl prašoma išsaugotų prisijungimo duomenų. Atkreipkite dėmesį, kurį turite, prieš liesdami raktų rinkinį, nes šie du beveik neturi nieko bendra.
Išsiaiškinkite, kiek dalykų paleidžia tunelį
Tą patį VPN Mac kompiuteryje gali paleisti keturi mechanizmai: meniu juostos veiksmas, prisijungimo elementas, On Demand taisyklė ir scenarijus ar agentas. Kai suveikia du iš jų, antrasis paleidimas gali ateiti, kol pirmasis dar laukia autentifikacijos, o tai sukuria pasikartojantį langą ir jokios pažangos. Pirmiausia išvardykite, kas sukonfigūruota: scutil --nc list atspausdina VPN paslaugas, kurias žino Sistemos nuostatos, su jų dabartine būsena. Klientai, pateikiantys savo tinklo plėtinį, profilius laiko programos viduje ir gali ten nesirodyti, todėl patikrinkite ir paties kliento ryšių sąrašą.
Tada ieškokite konkuruojančių paleidiklių. scutil --nc show "Work VPN" atspausdina įtaisytosios paslaugos konfigūracijos žodyną, įskaitant On Demand taisykles; taisyklė, kuri iš naujo prisijungia keičiantis bet kuriai sąsajai, paleis tunelį iš naujo – ir vėl atidarys autentifikacijos raginimą – kiekvieną kartą, kai Wi-Fi persijungia ar ekranas pažadina tinklo steką. Patikrinkite prisijungimo elementus dalyje Sistemos nuostatos > Bendra > Prisijungimo elementai ir išvardykite naudotojo agentus su ls ~/Library/LaunchAgents. Palikite ramybėje viską, kas priklauso MDM valdomam saugumo stekui; jo pašalinimas paprastai grąžinamas per kitą patikrą.
Norėdami pamatyti, kas iš tikrųjų veikia bandymo metu: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Du kliento pagalbininkai ten, kur tikitės vieno, daug dažniau paaiškina „kodėl gavau du raginimus“ nei bet kokia prisijungimo duomenų problema.
Sutvarkykite raktų rinkinio prieigą jo neiš naujo nenustatydami
Raginimas kyla iš išsaugoto elemento prieigos kontrolės sąrašo, o ne iš VPN protokolo. Kiekvienas elementas įrašo, kurios programos gali jį skaityti neprašius. Po kliento atnaujinimo klausiantis pagalbininkas gali turėti kitą pavadinimą ar parašą, o elementas vis dar išvardija senąjį, todėl macOS vėl klausia kiekvieną kartą prisijungus. Naujojo pagalbininko patvirtinimas tik tam vienam elementui ir yra visas pataisymas; visų programų patvirtinimas – ne.
Galite patvirtinti, kad priežastis yra ACL, neliesdami VPN: security find-generic-password -s "service-name" -g nuskaito tą patį elementą iš terminalo. Jei ta komanda taip pat sukelia raginimą, dialogas priklauso raktų rinkiniui, o tunelis tėra aktyviklis. „Apple“ gairės apie tris mygtukus – Leisti vieną kartą, Leisti visada, Atmesti – vertos vieno skaitymo, nes būtent Atmesti priverčia raginimą sugrįžti iškart, o ne per kitą bandymą.
Jei patvirtinote netinkamą pagalbininką, atidarykite elementą „Keychain Access“, perjunkite į „Access Control“ ir pašalinkite tą įrašą; tai yra atšaukimas. Prisijungimo raktų rinkinio ištrynimas arba jį atstatymo įrankio paleidimas taip pat išmeta nesusijusius slaptažodžius ir yra daug didesnis pakeitimas nei problema.
Laikykite prisijungimo ir politikos veiksmus tuose srautuose, kuriems jie priklauso
Prisijungimas naršyklėje ar MFA iššūkis priklauso tinklų vartams. Jei jūsų organizacija siūlo sesijos išsaugojimą ar sertifikatu pagrįstą autentifikaciją, naudokite ją, nes tai yra palaikomas būdas autentifikuotis rečiau. Fiksuoto kodo įvedimas kliente arba slaptažodžio saugojimas scenarijuje, kad raginimas niekada nepasirodytų, pakeičia interaktyvų veiksnį statine paslaptimi ir nepavyksta kitą kartą keičiantis politikai.
Organizacijos pranešimai yra vienintelė kategorija, kurios neturėtumėte slopinti. Jie paprastai įgyvendina būsenos patikrą arba priimtino naudojimo patvirtinimą, o juos paslėpus įrenginys gali neatitikti reikalavimų net tada, kai tunelis veikia. Klaidų dialogai yra kita kategorija: išsaugokite pirmosios klaidos tekstą, nes antrasis dialogas dažnai tėra ta pati nesėkmė, pranešta po pakartotinio bandymo.
Patikrinkite vienu bandymu, o paskui po perkrovimo
Pašalinus pasikartojančius paleidiklius ir sutvarkius raktų rinkinio įrašą, atlikite vieną bandymą: uždarykite kiekvieną kliento egzempliorių, įskaitant meniu juostos pagalbininką, prisijunkite vieną kartą ir suskaičiuokite langus. Norite raktų rinkinio patvirtinimo, jei elementas buvo atkurtas, ir vieno autentifikacijos žingsnio. Nieko daugiau. scutil --nc status "Work VPN" turėtų pranešti Connected įtaisytajai paslaugai.
Tada vieną kartą perkraukite ir pakartokite. Raginimas, kuris grįžta tik po perkrovimo, rodo į prisijungimo elementą ar On Demand taisyklę, o ne į prisijungimo duomenis; tas, kuris grįžta sesijos metu, rodo į ACL arba į antrą paleidiklį. Jei jis vis dar kartojasi po abiejų etapų, naudingas dalykas, kurį galite perduoti administratoriui, yra trijų eilučių lentelė iš pirmojo bandymo – savininkas, tikslus tekstas, etapas – o ne dialogo ekrano kopija.
Tikslas yra mažiau raginimų, o ne tylūs. Ryšys, kuris slepia savo autorizacijos veiksmus, yra ryšys, kurio nebegalite audituoti, o kitas sertifikatų rotacijos etapas jus pasieks nežinant, kuris komponentas nepavyksta.