Kāpēc jūsu Mac VPN katru reizi pieprasa Keychain piekļuvi
Nosakiet, kura komponente izraisa katru Mac VPN uzvedni, apturiet dubultos savienojuma mēģinājumus un salabojiet Keychain piekļuvi, neatiestatot visu atslēgu saišķi.
Viens klikšķis uz Connect būtu jādod vienu pieteikšanās logu. Mac datorā tas bieži dod trīs, un tiem reti ir viens un tas pats īpašnieks: atslēgu saišķis pārvalda vietējās akreditācijas datu uzvednes, VPN vārteja pārvalda autentifikāciju, bet klients – savus paziņojumus. Tā vietā, lai meklētu slēdzi, kas visu apklusina, uztveriet katru logu kā atsevišķu defektu ar savu labojumu. Tālāk esošā rokasgrāmata iziet vienu apzinātu savienojuma mēģinājumu un beidzas ar pārbaudi, ko varat atkārtot.
Nosauciet katra dialoga īpašnieku pirms iestatījuma maiņas
Pirmais solis ir uzskaite, nevis konfigurācija. Veiciet vienu savienojuma mēģinājumu un katram parādītajam logam pierakstiet četrus laukus: dialogā redzamo lietotnes nosaukumu, precīzo tekstu bez jebkā slepena, posmu, kurā tas parādījās, un to, kas notika, kad to atcēlāt. Trīs šādas rindas aptver gandrīz visus man redzētos ziņojumus.
Īpašumtiesības nosaka pareizo labojumu, un nepareizais labojums parasti ir tas, kas vienu uzvedni pārvērš trijās:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Uzvedne, kas atgriežas tajā pašā mēģinājumā, ir cits signāls nekā tā, kas atgriežas nākamajā mēģinājumā. Pirmā parasti nozīmē, ka savienojums tika restartēts zem jums; otrā parasti nozīmē, ka atkal tiek prasīti saglabātie akreditācijas dati. Atzīmējiet, kura jums ir, pirms pieskaraties atslēgu saišķim, jo šīm divām gandrīz nav nekā kopīga.
Noskaidrojiet, cik lietas palaiž tuneli
Vienu un to pašu VPN Mac datorā var palaist četri mehānismi: izvēlnes joslas darbība, pieteikšanās vienums, On Demand noteikums un skripts vai aģents. Kad iedarbojas divi no tiem, otrā palaišana var pienākt, kamēr pirmā vēl gaida autentifikāciju, kas rada dublētu logu un nekādu virzību. Vispirms uzskaitiet, kas ir konfigurēts: scutil --nc list izdrukā VPN pakalpojumus, kurus zina Sistēmas iestatījumi, ar to pašreizējo statusu. Klienti, kas piegādā savu tīkla paplašinājumu, profilus glabā lietotnē un tur var neparādīties, tāpēc pārbaudiet arī paša klienta savienojumu sarakstu.
Pēc tam meklējiet konkurējošus palaidējus. scutil --nc show "Work VPN" izdrukā iebūvēta pakalpojuma konfigurācijas vārdnīcu, tostarp On Demand noteikumus; noteikums, kas atkārtoti savienojas jebkurā saskarnes maiņā, restartēs tuneli – un atkal atvērs autentifikācijas uzvedni – katru reizi, kad Wi-Fi pārvietojas vai displejs pamodina tīkla steku. Pārbaudiet pieteikšanās vienumus sadaļā Sistēmas iestatījumi > Vispārīgi > Pieteikšanās vienumi un uzskaitiet lietotāja aģentus ar ls ~/Library/LaunchAgents. Atstājiet mierā visu, kas pieder MDM pārvaldītam drošības stekam; tā noņemšana parasti tiek atgriezta nākamajā pārbaudē.
Lai redzētu, kas mēģinājuma laikā patiešām darbojas: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Divi klienta palīgi tur, kur gaidāt vienu, daudz biežāk izskaidro „kāpēc es saņēmu divas uzvednes” nekā jebkura akreditācijas datu problēma.
Salabojiet atslēgu saišķa piekļuvi, to neatiestatot
Uzvedne nāk no saglabātā vienuma piekļuves kontroles saraksta, nevis no VPN protokola. Katrs vienums reģistrē, kuras lietotnes to drīkst lasīt bez jautāšanas. Pēc klienta atjauninājuma jautājošajam palīgam var būt cits nosaukums vai paraksts, kamēr vienums joprojām uzskaita veco, tāpēc macOS jautā atkal pie katra savienojuma. Jaunā palīga apstiprināšana tieši šim vienam vienumam ir viss labojums; visu lietotņu apstiprināšana nav.
Varat apstiprināt, ka cēlonis ir ACL, nepieskaroties VPN: security find-generic-password -s "service-name" -g nolasa to pašu vienumu no termināļa. Ja arī šī komanda izraisa uzvedni, dialogs pieder atslēgu saišķim, un tunelis ir tikai izraisītājs. Apple norādes par trim pogām – Atļaut vienreiz, Atļaut vienmēr, Noraidīt – ir vērtas vienu lasījumu, jo tieši Noraidīt liek uzvednei atgriezties nekavējoties, nevis nākamajā mēģinājumā.
Ja esat apstiprinājis nepareizo palīgu, atveriet vienumu Keychain Access, pārslēdzieties uz Access Control un noņemiet šo ierakstu; tas ir atritināšana. Pieteikšanās atslēgu saišķa dzēšana vai tā atjaunošanas rīka palaišana arī izmet nesaistītas paroles un ir daudz lielākas izmaiņas nekā problēma.
Turiet pieteikšanās un politikas soļus tajos plūsmos, kuriem tie pieder
Pieteikšanās pārlūkā vai MFA izaicinājums pieder vārtejai. Ja jūsu organizācija piedāvā sesijas noturību vai sertifikātos balstītu autentifikāciju, izmantojiet to, jo tas ir atbalstītais veids, kā autentificēties retāk. Fiksēta koda ievadīšana klientā vai paroles glabāšana skriptā, lai uzvedne nekad neparādītos, aizstāj interaktīvu faktoru ar statisku noslēpumu un neizdodas nākamajā reizē, kad mainās politika.
Organizācijas paziņojumi ir vienīgā kategorija, ko nevajadzētu nomākt. Tie parasti īsteno stāvokļa pārbaudi vai pieņemamas lietošanas apstiprinājumu, un to slēpšana var izvest ierīci no atbilstības pat tad, kad tunelis darbojas. Kļūdu dialogi ir otra kategorija: saglabājiet pirmā kļūdas tekstu, jo otrais dialogs bieži ir tikai tas pats neveiksmes gadījums, kas ziņots pēc atkārtota mēģinājuma.
Pārbaudiet ar vienu mēģinājumu, pēc tam pēc pārstartēšanas
Kad dublētie palaidēji ir noņemti un atslēgu saišķa ieraksts salabots, veiciet vienu mēģinājumu: aizveriet katru klienta instanci, tostarp izvēlnes joslas palīgu, pieslēdzieties vienreiz un saskaitiet logus. Jūs vēlaties atslēgu saišķa apstiprinājumu, ja vienums tika atjaunots, un vienu autentifikācijas soli. Neko vairāk. scutil --nc status "Work VPN" vajadzētu ziņot Connected iebūvētam pakalpojumam.
Pēc tam vienreiz pārstartējiet un atkārtojiet. Uzvedne, kas atgriežas tikai pēc pārstartēšanas, norāda uz pieteikšanās vienumu vai On Demand noteikumu, nevis akreditācijas datiem; tā, kas atgriežas sesijas laikā, norāda uz ACL vai otru palaidēju. Ja tā joprojām atkārtojas pēc abām kārtām, noderīgais, ko nodot administratoram, ir trīs rindu tabula no pirmā mēģinājuma – īpašnieks, precīzs teksts, posms – nevis dialoga ekrānuzņēmums.
Mērķis ir mazāk uzvedņu, nevis klusas. Savienojums, kas slēpj savus autorizācijas soļus, ir savienojums, kuru vairs nevarat auditēt, un nākamā sertifikātu rotācija jūs atradīs bez priekšstata, kura komponente neizdodas.