നിങ്ങളുടെ Mac VPN എല്ലാ തവണയും Keychain ആക്സസ് ആവശ്യപ്പെടുന്നത് എന്തുകൊണ്ട്
Mac VPN-ന്റെ ഓരോ പ്രോംപ്റ്റ് ഏത് ഘടകം സൃഷ്ടിക്കുന്നുവെന്ന് കണ്ടെത്തുക, ഇരട്ടി കണക്ഷൻ ശ്രമങ്ങൾ നിർത്തുക, മുഴുവൻ കീച്ചെയിൻ പുനഃസജ്ജീകരിക്കാതെ Keychain ആക്സസ് ശരിയാക്കുക.
Connect-ൽ ഒരു ക്ലിക്ക് ഒരു സൈൻ-ഇൻ വിൻഡോ നൽകണം. Mac-ൽ അത് പലപ്പോഴും മൂന്ന് നൽകുന്നു, അവ അപൂർവ്വമായി ഒരേ ഉടമയെ പങ്കിടുന്നു: പ്രാദേശിക ക്രെഡൻഷ്യൽ പ്രോംപ്റ്റുകളുടെ ഉടമ Keychain ആണ്, VPN ഗേറ്റ്വേ ആണ് ആധികാരികതയുടെ ഉടമ, കൂടാതെ ക്ലയന്റ് സ്വന്തം അറിയിപ്പുകളുടെ ഉടമയാണ്. എല്ലാം നിശ്ശബ്ദമാക്കുന്ന ഒരു സ്വിച്ച് തിരയുന്നതിനുപകരം, ഓരോ വിൻഡോയും സ്വന്തം പരിഹാരമുള്ള പ്രത്യേക തകരാറായി കാണുക. താഴെയുള്ള ഗൈഡ് ഒരു ബോധ്യപൂർവ്വ കണക്ഷൻ ശ്രമത്തിലൂടെ കടന്നുപോയി നിങ്ങൾക്ക് ആവർത്തിക്കാവുന്ന ഒരു പരിശോധനയിൽ അവസാനിക്കുന്നു.
ഒരു ക്രമീകരണം മാറ്റുന്നതിന് മുമ്പ് ഓരോ ഡയലോഗിന്റെയും ഉടമയെ പേരിടുക
ആദ്യ ഘട്ടം കോൺഫിഗറേഷനല്ല, കണക്കെഴുത്താണ്. ഒരു കണക്ഷൻ ശ്രമം നടത്തി, പ്രത്യക്ഷപ്പെടുന്ന ഓരോ വിൻഡോയ്ക്കും നാല് ഫീൽഡുകൾ എഴുതുക: ഡയലോഗിൽ കാണുന്ന ആപ്പ് പേര്, രഹസ്യമൊന്നുമില്ലാത്ത കൃത്യമായ ടെക്സ്റ്റ്, അത് പ്രത്യക്ഷപ്പെട്ട ഘട്ടം, നിങ്ങൾ അത് റദ്ദാക്കിയപ്പോൾ എന്ത് സംഭവിച്ചു. അത്തരം മൂന്ന് വരികൾ ഞാൻ കണ്ട മിക്കവാറും എല്ലാ റിപ്പോർട്ടുകളും ഉൾക്കൊള്ളുന്നു.
ഉടമസ്ഥതയാണ് ശരിയായ പരിഹാരം നിർണ്ണയിക്കുന്നത്, തെറ്റായ പരിഹാരമാണ് സാധാരണയായി ഒരു പ്രോംപ്റ്റിനെ മൂന്നാക്കി മാറ്റുന്നത്:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
അതേ ശ്രമത്തിനുള്ളിൽ തിരികെ വരുന്ന പ്രോംപ്റ്റ് അടുത്ത ശ്രമത്തിൽ തിരികെ വരുന്നതിൽ നിന്ന് വ്യത്യസ്ത സൂചനയാണ്. ആദ്യത്തേത് സാധാരണയായി കണക്ഷൻ നിങ്ങളുടെ കീഴിൽ പുനരാരംഭിച്ചു എന്നർത്ഥം; രണ്ടാമത്തേത് സാധാരണയായി സംഭരിച്ച ക്രെഡൻഷ്യൽ വീണ്ടും ആവശ്യപ്പെടുന്നു എന്നർത്ഥം. Keychain-നെ സ്പർശിക്കുന്നതിന് മുമ്പ് ഏതാണ് നിങ്ങൾക്കുള്ളതെന്ന് രേഖപ്പെടുത്തുക, കാരണം ഇവ രണ്ടിനും ഒരുപാട് പൊതുവായത് ഇല്ല.
ടണൽ എത്ര കാര്യങ്ങൾ ആരംഭിക്കുന്നുവെന്ന് കണ്ടെത്തുക
Mac-ൽ ഒരേ VPN നാല് സംവിധാനങ്ങൾക്ക് ആരംഭിക്കാം: മെനു ബാർ പ്രവർത്തനം, ലോഗിൻ ഇനം, On Demand നിയമം, കൂടാതെ ഒരു സ്ക്രിപ്റ്റ് അല്ലെങ്കിൽ ഏജന്റ്. അവയിൽ രണ്ടെണ്ണം പ്രവർത്തിക്കുമ്പോൾ, ആദ്യത്തേത് ഇപ്പോഴും ആധികാരികതയ്ക്കായി കാത്തിരിക്കുമ്പോൾ രണ്ടാമത്തെ തുടക്കം വന്നേക്കാം, ഇത് ഇരട്ടി വിൻഡോയും പുരോഗതിയില്ലാത്തതുമാക്കുന്നു. ആദ്യം എന്താണ് കോൺഫിഗർ ചെയ്തിരിക്കുന്നതെന്ന് പട്ടികപ്പെടുത്തുക: scutil --nc list സിസ്റ്റം ക്രമീകരണങ്ങൾക്ക് അറിയാവുന്ന VPN സേവനങ്ങൾ അവയുടെ നിലവിലെ നിലയോടെ പ്രിന്റ് ചെയ്യുന്നു. സ്വന്തം നെറ്റ്വർക്ക് എക്സ്റ്റൻഷൻ നൽകുന്ന ക്ലയന്റുകൾ പ്രൊഫൈലുകൾ ആപ്പിനുള്ളിൽ സൂക്ഷിക്കുന്നു, അവിടെ കാണണമെന്നില്ല, അതിനാൽ ക്ലയന്റിന്റെ സ്വന്തം കണക്ഷൻ പട്ടികയും പരിശോധിക്കുക.
തുടർന്ന് മത്സരിക്കുന്ന സ്റ്റാർട്ടർമാരെ തിരയുക. scutil --nc show "Work VPN" ഒരു ബിൽറ്റ്-ഇൻ സേവനത്തിന്റെ കോൺഫിഗറേഷൻ നിഘണ്ടു On Demand നിയമങ്ങൾ ഉൾപ്പെടെ പ്രിന്റ് ചെയ്യുന്നു; ഏതെങ്കിലും ഇന്റർഫേസ് മാറ്റത്തിൽ വീണ്ടും ബന്ധിപ്പിക്കുന്ന ഒരു നിയമം Wi-Fi നീങ്ങുമ്പോഴോ ഡിസ്പ്ലേ നെറ്റ്വർക്ക് സ്റ്റാക്ക് ഉണർത്തുമ്പോഴോ ടണൽ പുനരാരംഭിക്കുകയും ആധികാരികതാ പ്രോംപ്റ്റ് വീണ്ടും തുറക്കുകയും ചെയ്യും. സിസ്റ്റം ക്രമീകരണങ്ങൾ > പൊതുവായത് > ലോഗിൻ ഇനങ്ങൾ എന്നതിനു കീഴിൽ ലോഗിൻ ഇനങ്ങൾ പരിശോധിക്കുക, ഉപയോക്താവിന് ഏജന്റുമാരെ ഇതുകൊണ്ട് പട്ടികപ്പെടുത്തുക ls ~/Library/LaunchAgents. MDM നിർവ്വഹിക്കുന്ന സുരക്ഷാ സ്റ്റാക്കിന് സ്വന്തമായത് വിട്ടേക്കുക; അത് നീക്കം ചെയ്യുന്നത് സാധാരണയായി അടുത്ത പരിശോധനയിൽ തിരികെ തള്ളപ്പെടും.
ഒരു ശ്രമത്തിനിടയിൽ യഥാർത്ഥത്തിൽ എന്താണ് പ്രവർത്തിക്കുന്നതെന്ന് കാണാൻ: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. ഒന്ന് പ്രതീക്ഷിക്കുന്നിടത്ത് രണ്ട് ക്ലയന്റ് സഹായികൾ ഉണ്ടായാൽ "എന്തുകൊണ്ട് എനിക്ക് രണ്ട് പ്രോംപ്റ്റുകൾ ലഭിച്ചു" എന്നത് ഏതൊരു ക്രെഡൻഷ്യൽ പ്രശ്നത്തേക്കാളും വളരെ കൂടുതൽ വിശദീകരിക്കുന്നു.
കീച്ചെയിൻ പുനഃസജ്ജീകരിക്കാതെ Keychain ആക്സസ് ശരിയാക്കുക
പ്രോംപ്റ്റ് VPN പ്രോട്ടോക്കോളിൽ നിന്നല്ല, സംഭരിച്ച ഇനത്തിന്റെ ആക്സസ് കൺട്രോൾ ലിസ്റ്റിൽ നിന്നാണ് വരുന്നത്. ഓരോ ഇനവും ഏതൊക്കെ ആപ്പുകൾക്ക് ചോദിക്കാതെ അത് വായിക്കാമെന്ന് രേഖപ്പെടുത്തുന്നു. ക്ലയന്റ് അപ്ഡേറ്റിന് ശേഷം, ചോദിക്കുന്ന സഹായിക്ക് വേറെ പേരോ ഒപ്പോ ആകാം, എന്നാൽ ഇനം ഇപ്പോഴും പഴയതാണ് പട്ടികപ്പെടുത്തുന്നത്, അതിനാൽ macOS ഓരോ കണക്ഷനിലും വീണ്ടും ചോദിക്കുന്നു. ആ ഒരു ഇനത്തിന് പുതിയ സഹായിയെ അംഗീകരിക്കുന്നതാണ് മുഴുവൻ പരിഹാരം; എല്ലാ ആപ്പുകളെയും അംഗീകരിക്കുന്നതല്ല.
VPN-നെ സ്പർശിക്കാതെ ACL ആണ് കാരണമെന്ന് നിങ്ങൾക്ക് സ്ഥിരീകരിക്കാം: security find-generic-password -s "service-name" -g അതേ ഇനം ടെർമിനലിൽ നിന്ന് വായിക്കുന്നു. ആ കമാൻഡും പ്രോംപ്റ്റ് ഉയർത്തുന്നുവെങ്കിൽ, ഡയലോഗ് Keychain-ന്റേതാണ്, ടണൽ വെറും പ്രേരകമാണ്. Apple-ന്റെ മൂന്ന് ബട്ടണുകളെക്കുറിച്ചുള്ള മാർഗ്ഗനിർദ്ദേശം — ഒരിക്കൽ അനുവദിക്കുക, എപ്പോഴും അനുവദിക്കുക, നിരസിക്കുക — ഒരിക്കൽ വായിക്കാൻ യോഗ്യമാണ്, കാരണം നിരസിക്കുക എന്നതാണ് പ്രോംപ്റ്റ് അടുത്ത ശ്രമത്തിലല്ല, ഉടനടി തിരികെ കൊണ്ടുവരുന്നത്.
നിങ്ങൾ തെറ്റായ സഹായിയെ അംഗീകരിച്ചിട്ടുണ്ടെങ്കിൽ, Keychain Access-ൽ ഇനം തുറന്ന്, Access Control-ലേക്ക് മാറി ആ എൻട്രി നീക്കം ചെയ്യുക; അതാണ് റോൾബാക്ക്. ലോഗിൻ കീച്ചെയിൻ ഇല്ലാതാക്കുന്നതോ, അത് പുനർനിർമ്മിക്കുന്ന റിപ്പയർ ടൂൾ പ്രവർത്തിപ്പിക്കുന്നതോ ബന്ധമില്ലാത്ത പാസ്വേഡുകളും വലിച്ചെറിയുന്നു, പ്രശ്നത്തേക്കാൾ വളരെ വലിയ മാറ്റമാണത്.
സൈൻ-ഇൻ, നയം എന്നിവയുടെ ഘട്ടങ്ങൾ അവയുടെ ഉടമസ്ഥതയിലുള്ള ഫ്ലോകളിൽ സൂക്ഷിക്കുക
ബ്രൗസർ സൈൻ-ഇന്നോ MFA ചലഞ്ചോ ഗേറ്റ്വേയുടേതാണ്. നിങ്ങളുടെ സംഘടന സെഷൻ നിലനിർത്തലോ സർട്ടിഫിക്കറ്റ് അധിഷ്ഠിത ആധികാരികതയോ വാഗ്ദാനം ചെയ്യുന്നുവെങ്കിൽ അത് ഉപയോഗിക്കുക, കാരണം കുറച്ച് തവണ ആധികാരികമാക്കാനുള്ള പിന്തുണയുള്ള വഴി അതാണ്. ക്ലയന്റിൽ സ്ഥിരമായ കോഡ് ടൈപ്പ് ചെയ്യുന്നതോ, പ്രോംപ്റ്റ് ഒരിക്കലും വരാതിരിക്കാൻ സ്ക്രിപ്റ്റിൽ പാസ്വേഡ് സൂക്ഷിക്കുന്നതോ ഒരു ഇന്ററാക്ടീവ് ഘടകത്തെ സ്ഥിരമായ രഹസ്യം കൊണ്ട് മാറ്റുന്നു, അടുത്ത തവണ നയം മാറുമ്പോൾ പരാജയപ്പെടും.
സംഘടനയുടെ അറിയിപ്പുകൾ നിങ്ങൾ അടിച്ചമർത്താൻ പാടില്ലാത്ത ഏക വിഭാഗമാണ്. അവ സാധാരണയായി ഒരു പോസ്ചർ പരിശോധനയോ സ്വീകാര്യമായ ഉപയോഗ അംഗീകാരമോ നടപ്പിലാക്കുന്നു, അവ മറയ്ക്കുന്നത് ടണൽ പ്രവർത്തിക്കുമ്പോഴും ഉപകരണം അനുരൂപതയ്ക്ക് പുറത്താക്കാം. പിശക് ഡയലോഗുകൾ മറ്റൊരു വിഭാഗമാണ്: ആദ്യത്തെ പിശകിന്റെ ടെക്സ്റ്റ് സൂക്ഷിക്കുക, കാരണം രണ്ടാമത്തെ ഡയലോഗ് പലപ്പോഴും വീണ്ടും ശ്രമിച്ചതിന് ശേഷം റിപ്പോർട്ട് ചെയ്യുന്ന അതേ പരാജയമാണ്.
ഒരു ശ്രമത്തിലൂടെ പരിശോധിക്കുക, പിന്നീട് റീബൂട്ടിന് ശേഷം
ഇരട്ടി സ്റ്റാർട്ടർമാർ നീക്കിയതിനും കീച്ചെയിൻ എൻട്രി ശരിയാക്കിയതിനും ശേഷം ഒരു ശ്രമം മാത്രം നടത്തുക: മെനു ബാർ സഹായി ഉൾപ്പെടെ ഓരോ ക്ലയന്റ് ഇൻസ്റ്റൻസും അവസാനിപ്പിക്കുക, ഒരിക്കൽ ബന്ധിപ്പിക്കുക, വിൻഡോകൾ എണ്ണുക. ഇനം പുനർനിർമ്മിക്കപ്പെട്ടെങ്കിൽ കീച്ചെയിൻ അംഗീകാരവും ഒരു ആധികാരികതാ ഘട്ടവും നിങ്ങൾക്ക് വേണം. അതിലധികമൊന്നും വേണ്ട. scutil --nc status "Work VPN" ബിൽറ്റ്-ഇൻ സേവനത്തിന് Connected റിപ്പോർട്ട് ചെയ്യണം.
പിന്നീട് ഒരിക്കൽ റീബൂട്ട് ചെയ്ത് ആവർത്തിക്കുക. റീബൂട്ടിന് ശേഷം മാത്രം തിരികെ വരുന്ന പ്രോംപ്റ്റ് ലോഗിൻ ഇനത്തെയോ On Demand നിയമത്തെയോ സൂചിപ്പിക്കുന്നു, ക്രെഡൻഷ്യലുകളെയല്ല; സെഷനുള്ളിൽ തിരികെ വരുന്നത് ACL-നെയോ രണ്ടാമത്തെ സ്റ്റാർട്ടറിനെയോ സൂചിപ്പിക്കുന്നു. രണ്ട് പാസുകൾക്ക് ശേഷവും അത് ആവർത്തിക്കുന്നുവെങ്കിൽ, നിങ്ങളുടെ അഡ്മിനിസ്ട്രേറ്റർക്ക് നൽകാൻ ഉപയോഗപ്രദമായത് ആദ്യ ശ്രമത്തിലെ മൂന്ന് വരി പട്ടികയാണ് — ഉടമ, കൃത്യമായ ടെക്സ്റ്റ്, ഘട്ടം — ഡയലോഗിന്റെ സ്ക്രീൻഷോട്ടല്ല.
ലക്ഷ്യം കുറച്ച് പ്രോംപ്റ്റുകളാണ്, നിശ്ശബ്ദമായവയല്ല. അനുമതി ഘട്ടങ്ങൾ മറയ്ക്കുന്ന ഒരു കണക്ഷൻ നിങ്ങൾക്ക് ഇനി ഓഡിറ്റ് ചെയ്യാൻ കഴിയാത്ത കണക്ഷനാണ്, അടുത്ത സർട്ടിഫിക്കറ്റ് റൊട്ടേഷൻ ഏത് ഘടകമാണ് പരാജയപ്പെടുന്നതെന്ന് അറിയാതെ നിങ്ങളെ കണ്ടെത്തും.