Mac Asyik Meminta Kata Laluan VPN: Gantungan Kunci atau Akaun?
Mac mungkin meminta kata laluan gantungan kunci log masuk, kata laluan pentadbir atau akaun VPN itu sendiri. Baca milik siapa dialog itu, kemudian betulkan stor yang betul.
Anda membuka kunci Mac, membuka klien VPN, dan helaian kata laluan muncul sebelum terowong bermula. Anda menaip kata laluan gateway, dan sama ada ia ditolak atau helaian kembali seketika kemudian. Kemudian ia bertanya lagi selepas bangun daripada tidur, log keluar atau kemas kini klien. Helaian itu jarang merupakan pelayan VPN yang meminta kelayakan; biasanya macOS meminta kebenaran untuk membaca, membuka kunci atau menukar rekod setempat, dan kata laluan itu milik pemilik rekod tersebut, bukan akaun VPN anda.
Padankan helaian dengan identiti di belakangnya
Empat gesaan kelihatan hampir serupa, dan hanya satu melibatkan gateway. Kata-katanya, proses yang meminta akses dan item yang dinamakan di bawahnya memberitahu anda yang mana satu anda hadapi.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialog tentang akses setempat tidak membuktikan apa-apa tentang pelayan. Penolakan gateway muncul dalam klien dengan teks ralat vendor, bukan sebagai helaian sistem yang menawarkan untuk membuka kunci gantungan kunci. Sebaliknya juga sama biasa: menaip kata laluan gateway ke dalam helaian gantungan kunci membiarkan rekod terkunci dan menambah satu percubaan gagal.
Dialog menamakan pemilik, stor dan tindakan
Gesaan gantungan kunci adalah tentang pengambilan, bukan pengesahan kepada sesuatu yang jauh. Perihalan Apple tentang dialog permintaan adalah sempit: Benarkan Sekali, Sentiasa Benarkan dan Tolak mengawal sama ada aplikasi itu boleh membaca item yang disimpan. Ketiga-tiganya tidak memberikan keistimewaan di gateway dan tidak mengubah apa yang pelayan fikirkan tentang kata laluan anda.
Apabila peminta ialah klien yang baru dikemas kini, kelulusan semula dijangka: binaan baharu tidak lagi sepadan dengan senarai kawalan akses pada item itu, jadi macOS bertanya lagi. Jawab Benarkan Sekali semasa mendiagnosis. Sentiasa Benarkan ialah kebenaran kekal kepada aplikasi itu dan jawapan yang salah untuk proses pembantu yang tidak anda jangkakan; tolak dan semak vendor jika binari itu bukan klien yang anda pasang.
Gesaan yang meminta kebenaran pentadbir ialah jenis ketiga. Ia menamakan tetapan sistem atau stor dilindungi yang sedang diubah, dan kelayakan yang diminta ialah akaun pentadbir pada Mac ini. Bukan setiap item gantungan kunci peribadi memerlukannya; item di sebalik konfigurasi rangkaian biasanya memerlukannya, kerana konfigurasi itu milik sistem, bukan sesi log masuk anda.
Di mana kata laluan VPN pada Mac boleh tinggal
Gantungan kunci ialah satu stor yang mungkin, bukan definisi stor. Konfigurasi VPN terbina dalam yang dibuat dalam Tetapan Sistem menyimpan kelayakannya bersama konfigurasi rangkaian, sebagai tetapan sistem terurus. Klien pihak ketiga biasanya menyimpan item dalam gantungan kunci log masuk anda: kata laluan generik dengan kunci nama perkhidmatan, atau kata laluan internet dengan kunci pelayan, protokol dan akaun. Banyak aplikasi lebih baharu menggunakan gantungan kunci perlindungan data, yang itemnya tidak pernah muncul dalam Akses Gantungan Kunci.
Orang mencari nama VPN dalam Akses Gantungan Kunci, tidak menemui apa-apa dan menyimpulkan kata laluan tidak disimpan. Nota TN3137 Apple menyatakan terdapat lebih daripada satu pelaksanaan gantungan kunci; ketiadaan daripada senarai itu adalah normal, bukan bukti item rosak.
Jenis rekod juga tidak boleh ditukar ganti. Kata laluan akaun, frasa laluan kunci peribadi, sijil klien dan rahsia kongsi IPsec gagal dengan cara berbeza dan dibaiki di tempat berbeza; menaip semula kata laluan yang disimpan tidak membantu sijil yang ditolak. Jika Mac didaftarkan dalam pengurusan, profil ialah pemilik lain: muatan VPN boleh membawa kelayakan dan menggunakannya semula semasa muat semula, jadi memadam item setempat adalah sementara sehingga pentadbir mengubahnya.
Apabila kata laluan log masuk dan kata laluan gantungan kunci berbeza
Gantungan kunci log masuk biasanya menggunakan kata laluan log masuk Mac anda, sebab itu kedua-duanya boleh berbeza. Pentadbir yang menetapkan semula kata laluan anda daripada akaun lain, aliran pemulihan atau perubahan direktori boleh membiarkan gantungan kunci terkunci pada nilai lama, dan macOS kemudian meminta kata laluan yang baru tidak anda tetapkan.
Semasa log masuk anda mungkin melihat amaran bahawa sistem tidak dapat membuka kunci gantungan kunci. Mengemas kininya memerlukan kata laluan lama, yang baik jika anda ingat dan tidak berguna jika tidak. Dua pembaikan jujur ialah Akses Gantungan Kunci, Edit, Tukar Kata Laluan untuk Gantungan Kunci "login", atau gantungan kunci log masuk baharu dengan kelayakan yang diperlukan dimasukkan semula. Pilihan kedua memusnahkan item yang disimpan.
Jangan tetapkan semula seluruh gantungan kunci kerana satu VPN menolak kelayakan lama: itu mengeluarkan akaun yang tidak berkaitan dan masih tidak mengenal pasti item itu.
Satu arahan menyelesaikan persoalan setempat lawan jauh. Mintalah item itu terus daripada gantungan kunci:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gGunakan pelayan dan akaun daripada tetapan klien anda. Jika helaian kelulusan yang sama muncul apabila anda sendiri meminta gantungan kunci, gesaan itu setempat dan pelayan hanyalah penonton. Jika item sedemikian tidak wujud, klien tidak menyimpan kata laluan di tempat yang anda andaikan. Bendera -g mencetak rahsia ke terminal, jadi elakkan perkongsian skrin.
Kemas kini rekod yang benar-benar dibaca oleh klien
Jika akaun berubah di gateway, ubah dahulu di sana, kemudian kemas kini rekod yang disimpan melalui tetapan klien. Mengedit item gantungan kunci secara manual tidak boleh dipercayai: klien mungkin membaca pasangan perkhidmatan-dan-akaun yang lain, dan profil terurus akan menimpa suntingan anda.
Untuk item yang disyaki lapuk, padankan perkhidmatan, akaun dan protokol sebelum memadam apa-apa:
security delete-generic-password -s "Client Name" -a [email protected]Memadam item bernama serupa daripada sambungan lain ialah gangguan biasa yang anda sebabkan sendiri. Pembuangan hanya setempat: ia tidak membatalkan sesi di gateway, tidak melepaskan sijil peranti dan tidak menukar kata laluan akaun.
Sahkan pembaikan bertahan selepas but semula
Sambung, bangun daripada tidur, log keluar dan masuk semula, kemudian but semula sekali. Urutan bersih tanpa helaian dan status klien yang menamakan akaun yang dijangka ialah satu-satunya bukti yang dikira. Di mana gesaan kembali memberitahu lapisan mana yang anda terlepas: selepas kemas kini ia kelulusan, selepas perubahan rangkaian gesaan klien sendiri, selepas but semula profil yang menggunakan semula keadaan.
Semak klien untuk tetapan ingat kata laluan atau sentiasa tanya sebelum menyentuh gantungan kunci lagi. Sesetengah konfigurasi, terutamanya IKEv2 dengan pengesahan setiap pengguna, bertanya mengikut reka bentuk pada setiap sambungan; pembaikan gantungan kunci tidak akan membantu.
Catat item apa yang anda ubah, stor mana yang memilikinya dan akaun mana yang menjadi miliknya, supaya gesaan seterusnya dapat diletakkan dalam beberapa saat. Halaman Apple Permintaan akses gantungan kunci ialah rujukan tentang apa yang dibenarkan oleh tiga butang itu.