Таны Mac VPN яагаад бүр удаа Keychain-ийн хандалт шаарддаг вэ
Mac VPN-ийн мэдэгдэл бүрийг аль бүрэлдэхүүн үүсгэдэгийг тодорхойлж, давхар холболтын оролдлогыг зогсоож, бүх түлхүүрийн багцыг дахин тохируулахгүйгээр Keychain хандалтыг засаарай.
Connect дээр нэг товших нь нэг нэвтрэх цонх гаргах ёстой. Mac дээр энэ нь ихэвчлэн гурав гаргадаг бөгөөд тэд нэг эзэнтэй байх нь ховор: локал итгэмжлэлийн мэдээллийн мэдэгдлийг түлхүүрийн багц эзэмшдэг, VPN гарц нь баталгаажуулалтыг, харин клиент нь өөрийн мэдэгдлүүдийг эзэмшдэг. Бүгдийг чимээгүй болгох унтраалга хайхын оронд цонх бүрийг өөрийн засвартай тусдаа алдаа гэж үзээрэй. Доорх гарын авлага нэг санаатай холболтын оролдлогыг туулж, таны давтаж болох шалгалтаар дуусна.
Тохиргоог өөрчлөхөөс өмнө диалог бүрийн эзнийг нэрлээрэй
Эхний алхам нь тохиргоо биш, бүртгэл юм. Нэг холболтын оролдлого хийж, гарч ирсэн цонх бүрд дөрвөн талбарыг бичээрэй: диалогт харагдах аппын нэр, ямар ч нууцгүй яг текст, аль үе шатанд гарч ирсэн, мөн цуцалсан үед юу болсон. Ийм гурван мөр миний үзсэн бараг бүх тайланг хамардаг.
Эзэмшил нь зөв засварыг тодорхойлдог бөгөөд буруу засвар нь ихэвчлэн нэг мэдэгдлийг гурав болгодог:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Нэг оролдлогын дотор буцаж ирдэг мэдэгдэл нь дараагийн оролдлогод буцаж ирдэгээс өөр дохио юм. Эхнийх нь ихэвчлэн холболт таны доор дахин эхэлснийг илэрхийлдэг; хоёр дахь нь ихэвчлэн хадгалсан итгэмжлэлийг дахин асууж байгааг илэрхийлдэг. Түлхүүрийн багцад хүрэхээс өмнө аль нь байгааг тэмдэглээрэй, учир нь эдгээр хоёрт бараг нийтлэг зүйл байхгүй.
Туннелийг хэдэн зүйл эхлүүлж байгааг олж мэдээрэй
Mac дээр нэг VPN-ийг дөрвөн механизм эхлүүлж болно: цэсний талбарын үйлдэл, нэвтрэх элемент, On Demand дүрэм, мөн скрипт эсвэл агент. Тэдгээрийн хоёр нь ажиллахад эхнийх нь баталгаажуулалтыг хүлээж байх үед хоёр дахь эхлэл ирж болох бөгөөд энэ нь давхар цонх үүсгэж, ямар ч ахиц гарахгүй. Эхлээд юу тохируулсан байгааг жагсаа: scutil --nc list Системийн тохиргоонд мэдэгдэх VPN үйлчилгээнүүдийг одоогийн төлөвтэй нь хамт хэвлэнэ. Өөрийн сүлжээний өргөтгөлийг авчирдаг клиентүүд профайлыг апп дотор хадгалдаг бөгөөд тэнд харагдахгүй байж болох тул клиентийн өөрийн холболтын жагсаалтыг ч шалгаарай.
Дараа нь өрсөлдөгч эхлүүлэгчдийг хай. scutil --nc show "Work VPN" суулгагдсан үйлчилгээний тохиргооны толь бичгийг On Demand дүрмүүдийн хамт хэвлэнэ; интерфэйсийн аливаа өөрчлөлтөд дахин холбогддог дүрэм нь Wi-Fi шилжих эсвэл дэлгэц сүлжээний стекийг сэрээх бүрт туннелийг дахин эхлүүлж, баталгаажуулалтын мэдэгдлийг дахин нээх болно. Системийн тохиргоо > Ерөнхий > Нэвтрэх элементүүд доор нэвтрэх элементүүдийг шалгаж, хэрэглэгч тус бүрийн агентүүдийг үүгээр жагсаа ls ~/Library/LaunchAgents. MDM-аар удирдуулсан аюулгүй байдлын стект хамаарах зүйлийг орхи; устгах нь ихэвчлэн дараагийн шалгалтад буцаагдана.
Оролдлогын үеэр үнэхээр юу ажиллаж байгааг харахын тулд: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Нэгийг хүлээж байгаа газарт хоёр клиентийн туслах байх нь «би яагаад хоёр мэдэгдэл авсан бэ» гэдгийг ямар ч итгэмжлэлийн асуудлаас хамаагүй илүү олон удаа тайлбарладаг.
Түлхүүрийн багцыг дахин тохируулахгүйгээр Keychain хандалтыг зас
Мэдэгдэл нь VPN протоколоос биш, хадгалсан элементийн хандалтын хяналтын жагсаалтаас гардаг. Элемент бүр аль аппууд асуулгүйгээр уншиж болохыг бүртгэдэг. Клиент шинэчлэгдсэний дараа асууж буй туслах өөр нэр эсвэл гарын үсэгтэй байж болох боловч элемент хуучин нэрийг жагсаасан хэвээр байгаа тул macOS холболт бүрт дахин асуудаг. Шинэ туслахад зөвхөн тэр нэг элементов зөвшөөрөх нь бүх засвар; бүх апп-д зөвшөөрөх нь биш.
VPN-д хүрэхгүйгээр ACL шалтгаан гэдгийг баталж болно: security find-generic-password -s "service-name" -g ижил элементийг терминалаас уншина. Тэр команд мөн мэдэгдэл гаргавал диалог нь түлхүүрийн багцад хамаарах бөгөөд туннель зөвхөн өдөөгч юм. Apple-ийн гурван товчны тухай заавар — Нэг удаа зөвшөөрөх, Үргэлж зөвшөөрөх, Татгалзах — нэг удаа унших нь зүйтэй, учир нь Татгалзах нь мэдэгдлийг дараагийн оролдлогод биш, шууд буцааж авчирдаг.
Хэрэв буруу туслахыг зөвшөөрсөн бол элементийг Keychain Access-д нээж, Access Control руу шилжиж, тэр бичлэгийг устгаарай; энэ бол буцаах. Нэвтрэх түлхүүрийн багцыг устгах эсвэл түүнийг дахин бүтээдэг засварын хэрэгсэл ажиллуулах нь хамааралгүй нууц үгсийг ч хаяж, асуудлаас хамаагүй том өөрчлөлт юм.
Нэвтрэх болон бодлогын алхмуудыг эзэмшдэг урсгалд нь байлга
Хөтчөөр нэвтрэх эсвэл MFA сорилт нь гарцад хамаарна. Хэрэв байгууллага тань сессийн тогтвортой байдал эсвэл гэрчилгээнд суурилсан баталгаажуулалт санал болгодог бол түүнийг ашигла, учир нь бага давтамжтай баталгаажуулах дэмжигдсэн арга нь энэ юм. Клиентэд тогтмол код бичих эсвэл мэдэгдэл хэзээ ч гарахгүйн тулд скриптэд нууц үг хадгалах нь интерактив хүчин зүйлийг статик нууцаар сольж, дараагийн удаа бодлого өөрчлөгдөхөд бүтэлгүйтдэг.
Байгууллагын мэдэгдлүүд нь дарах ёсгүй цорын ганц ангилал юм. Тэд ихэвчлэн байдлын шалгалт эсвэл зөвшөөрөгдөх хэрэглээний баталгаажуулалтыг хэрэгжүүлдэг бөгөөд тэдгээрийг нуух нь туннель ажиллаж байсан ч төхөөрөмжийг нийцэлгүй болгож болно. Алдааны диалогууд нь өөр ангилал: эхний алдааны текстийг хадгал, учир нь хоёр дахь диалог нь ихэвчлэн дахин оролдсоны дараа мэдээлсэн ижил бүтэлгүйтэл юм.
Нэг оролдлогоор, дараа нь дахин ачаалсны дараа шалга
Давхар эхлүүлэгчдийг арилгаж, түлхүүрийн багцын бичлэгийг зассаны дараа нэг л оролдлого хий: цэсний талбарын туслахыг оролцуулан клиентийн бүх хувилбарыг хааж, нэг удаа холбогдож, цонхнуудыг тоол. Хэрэв элемент дахин бүтээгдсэн бол түлхүүрийн багцын зөвшөөрөл, мөн нэг баталгаажуулалтын алхам хэрэгтэй. Үүнээс өөр зүйлгүй. scutil --nc status "Work VPN" суулгагдсан үйлчилгээнд Connected гэж мэдээлэх ёстой.
Дараа нь нэг удаа дахин ачаалж, давтана. Зөвхөн дахин ачаалсны дараа буцаж ирдэг мэдэгдэл нь итгэмжлэлд биш, нэвтрэх элемент эсвэл On Demand дүрэмд заана; сессийн дотор буцаж ирдэг нь ACL эсвэл хоёр дахь эхлүүлэгчид заана. Хэрэв хоёр дамжлагын дараа ч давтагдсаар байвал админдаа өгөх хэрэгтэй зүйл бол эхний оролдлогын гурван мөрт хүснэгт — эзэн, яг текст, үе шат — диалогийн дэлгэцийн зураг биш.
Зорилго нь цөөн мэдэгдэл, чимээгүй мэдэгдэл биш. Зөвшөөрлийн алхмуудаа нуудаг холболт бол та цаашид аудит хийж чадахгүй холболт бөгөөд дараагийн гэрчилгээний эргэлт аль бүрэлдэхүүн бүтэлгүйтэж байгааг мэдэхгүйгээр танд тулгарах болно.