Mac nemitīgi prasa VPN paroli: atslēgu kopa vai konts?
Mac var prasīt pieteikšanās atslēgu kopas paroli, administratora paroli vai pašu VPN kontu. Izlasiet, kam pieder dialogs, un izlabojiet pareizo krātuvi.
Jūs atslēdzat Mac, atverat VPN klientu, un paroles lapa parādās pirms tuneļa sākuma. Ievadāt vārtejas paroli, un tā vai nu tiek noraidīta, vai lapa atgriežas mirklī vēlāk. Pēc tam tā jautā atkal pēc pamošanās no miega, iziešanas vai klienta atjauninājuma. Šī lapa reti ir VPN serveris, kas pieprasa pieteikšanās datus; parasti macOS lūdz atļauju lasīt, atslēgt vai mainīt lokālu ierakstu, un parole pieder šī ieraksta īpašniekam, nevis jūsu VPN kontam.
Saskaņojiet lapu ar identitāti aiz tās
Četri uzvednes izskatās gandrīz vienādi, un tikai viena attiecas uz vārteju. Formulējums, process, kas pieprasa piekļuvi, un zemāk nosauktais elements pasaka, ar kuru jūs saskaraties.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialogs par lokālu piekļuvi neko nepierāda par serveri. Vārtejas noraidījums parādās klienta iekšienē ar piegādātāja kļūdas tekstu, nevis kā sistēmas lapa, kas piedāvā atslēgt atslēgu kopu. Pretējais ir tikpat izplatīts: vārtejas paroles ievadīšana atslēgu kopas lapā atstāj ierakstu bloķētu un pievieno neveiksmīgu mēģinājumu.
Dialogs nosauc īpašnieku, krātuvi un darbību
Atslēgu kopas uzvednes attiecas uz iegūšanu, nevis autentifikāciju pret kaut ko attālu. Apple pieprasījuma dialoga apraksts ir šaurs: Atļaut vienreiz, Atļaut vienmēr un Noraidīt kontrolē, vai šī lietotne drīkst lasīt saglabāto elementu. Neviens no trim nepiešķir privilēģiju vārtejā un nemaina to, ko serveris domā par jūsu paroli.
Ja pieprasītājs ir tikko atjaunināts klients, atkārtota apstiprināšana ir gaidāma: jaunā versija vairs neatbilst elementa piekļuves kontroles sarakstam, tāpēc macOS jautā vēlreiz. Diagnostikas laikā atbildiet Atļaut vienreiz. Atļaut vienmēr ir pastāvīga atļauja šai lietotnei un nepareiza atbilde negaidītam palīgprocesam; noraidiet un pārbaudiet piegādātāju, ja binārais fails nav jūsu instalētais klients.
Uzvedne, kas pieprasa administratora atļauju, ir trešā veida. Tā nosauc maināmu sistēmas iestatījumu vai aizsargātu krātuvi, un pieprasītie dati ir administratora konts šajā Mac. Ne katram personīgajam atslēgu kopas elementam tas ir vajadzīgs; tiem aiz tīkla konfigurācijas parasti ir, jo konfigurācija pieder sistēmai, nevis jūsu pieteikšanās sesijai.
Kur Mac var dzīvot VPN parole
Atslēgu kopa ir viena iespējama krātuve, nevis krātuves definīcija. Sistēmas iestatījumos izveidota iebūvēta VPN konfigurācija glabā savus datus kopā ar tīkla konfigurāciju kā pārvaldītu sistēmas iestatījumu. Trešās puses klients parasti glabā elementu jūsu pieteikšanās atslēgu kopā: vispārīgu paroli ar atslēgu pēc pakalpojuma nosaukuma vai interneta paroli ar atslēgu pēc servera, protokola un konta. Daudzas jaunākas lietotnes tā vietā izmanto datu aizsardzības atslēgu kopu, kuras elementi nekad neparādās Atslēgu kopas piekļuvē.
Cilvēki Atslēgu kopas piekļuvē meklē VPN nosaukumu, neko neatrod un secina, ka parole nav saglabāta. Apple piezīme TN3137 saka, ka pastāv vairāk nekā viena atslēgu kopas implementācija; neesamība šajā sarakstā ir normāla, nevis bojāta elementa pierādījums.
Arī ierakstu veidi nav savstarpēji aizstājami. Konta parole, privātās atslēgas paroles frāze, klienta sertifikāts un kopīgs IPsec noslēpums neizdodas dažādi un tiek laboti dažādās vietās; saglabātas paroles atkārtota ievadīšana neko nedara noraidītam sertifikātam. Ja Mac ir reģistrēts pārvaldībā, profils ir vēl viens īpašnieks: VPN kravas var nest pieteikšanās datus un atjaunināšanas laikā tos atkārtoti piemērot, tāpēc lokāla elementa dzēšana ir īslaicīga, līdz administrators to maina.
Kad pieteikšanās parole un atslēgu kopas parole atšķiras
Pieteikšanās atslēgu kopa parasti izmanto jūsu Mac pieteikšanās paroli, tāpēc abas var atšķirties. Administratora veikta paroles atiestatīšana no cita konta, atkopšanas plūsma vai direktorija izmaiņas var atstāt atslēgu kopu bloķētu pie vecās vērtības, un tad macOS prasa paroli, kuru jūs tikko neiestatījāt.
Pieteikšanās laikā varat redzēt brīdinājumu, ka sistēma nevarēja atslēgt atslēgu kopu. Lai to atjauninātu, vajadzīga vecā parole, kas ir labi, ja to atceraties, un bezjēdzīgi, ja ne. Divi godīgi labojumi ir Atslēgu kopas piekļuve, Rediģēt, Mainīt atslēgu kopas "login" paroli, vai jauna pieteikšanās atslēgu kopa ar atkārtoti ievadītiem nepieciešamajiem datiem. Otrais variants iznīcina saglabātos elementus.
Neatiestatiet visu atslēgu kopu tāpēc, ka viens VPN noraida vecus datus: tas noņem nesaistītus kontus un joprojām neidentificē elementu.
Viena komanda atrisina lokālā pret attālo jautājumu. Pajautājiet atslēgu kopai elementu tieši:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gIzmantojiet serveri un kontu no klienta iestatījumiem. Ja tā pati apstiprinājuma lapa parādās, kad jūs pats jautājat atslēgu kopai, uzvedne ir lokāla un serveris ir novērotājs. Ja šāda elementa nav, klients neglabā paroli tur, kur jūs domājāt. Karodziņš -g izdrukā noslēpumu terminālī, tāpēc izvairieties no ekrāna kopīgošanas.
Atjauniniet ierakstu, ko klients patiešām lasa
Ja konts ir mainījies vārtejā, vispirms mainiet to tur, pēc tam atjauniniet saglabāto ierakstu klienta iestatījumos. Atslēgu kopas elementa manuāla rediģēšana nav uzticama: klients var lasīt citu pakalpojuma un konta pāri, un pārvaldīts profils pārrakstīs jūsu labojumu.
Ja elements tiek uzskatīts par novecojušu, pirms kaut ko dzēst saskaņojiet pakalpojumu, kontu un protokolu:
security delete-generic-password -s "Client Name" -a [email protected]Līdzīgi nosaukta elementa dzēšana no cita savienojuma ir biežs paša radīts pārtraukums. Noņemšana ir tikai lokāla: tā neatsauc sesiju vārtejā, neatsaista ierīces sertifikātu un nemaina konta paroli.
Pārliecinieties, ka labojums pārdzīvo restartu
Pieslēdzieties, pamostieties no miega, izlogojieties un piesakieties vēlreiz, tad vienreiz restartējiet. Tīra secība bez lapas un klienta statuss ar gaidīto kontu ir vienīgais pierādījums, kam ir nozīme. Vieta, kur uzvedne atgriežas, pasaka, kuru slāni jūs izlaidāt: pēc atjauninājuma tā ir apstiprināšana, pēc tīkla izmaiņām paša klienta uzvedne, pēc restarta profils, kas atkārtoti piemēro stāvokli.
Pirms vēlreiz aiztikt atslēgu kopu pārbaudiet klientā paroles atcerēšanās vai vienmēr jautāt iestatījumu. Dažas konfigurācijas, jo īpaši IKEv2 ar autentifikāciju katram lietotājam, pēc dizaina jautā katrā savienojumā; atslēgu kopas labošana nepalīdzēs.
Pierakstiet, kuru elementu mainījāt, kura krātuve tam piederēja un kuram kontam tas piederēja, lai nākamo uzvedni varētu atpazīt sekundēs. Apple lapa Atslēgu kopas piekļuves pieprasījumi ir atsauce par to, ko šie trīs pogas atļauj.