Mengapa VPN Mac Anda Meminta Akses Keychain Setiap Kali
Petakan komponen mana yang memunculkan setiap gesaan VPN Mac, hentikan cubaan sambungan berganda dan baiki akses Keychain tanpa menetapkan semula seluruh genggaman kunci.
Satu klik pada Connect sepatutnya menghasilkan satu tetingkap log masuk. Pada Mac ia sering menghasilkan tiga, dan jarang berkongsi pemilik yang sama: genggaman kunci memiliki gesaan kelayakan tempatan, gerbang VPN memiliki pengesahan, dan klien memiliki pemberitahuannya sendiri. Daripada mencari suis yang mendiamkan segala-galanya, anggap setiap tetingkap sebagai kecacatan berasingan dengan pembaikan tersendiri. Panduan di bawah menelusuri satu cubaan sambungan yang disengajakan dan berakhir dengan pemeriksaan yang boleh anda ulangi.
Namakan pemilik setiap dialog sebelum menukar tetapan
Langkah pertama ialah perakaunan, bukan konfigurasi. Lakukan satu cubaan sambungan dan, untuk setiap tetingkap yang muncul, catat empat medan: nama aplikasi yang dipaparkan, teks tepat tanpa apa-apa rahsia, fasa ia muncul, dan apa yang berlaku apabila anda membatalkannya. Tiga baris seperti itu merangkumi hampir setiap laporan yang pernah saya periksa.
Pemilikan menentukan pembaikan yang betul, dan pembaikan yang salah biasanya yang menjadikan satu gesaan kepada tiga:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Gesaan yang kembali dalam cubaan yang sama ialah isyarat berbeza daripada yang kembali pada cubaan seterusnya. Yang pertama biasanya bermaksud sambungan dimulakan semula di bawah anda; yang kedua biasanya bermaksud kelayakan tersimpan diminta semula. Catat yang mana anda ada sebelum menyentuh genggaman kunci, kerana kedua-duanya hampir tiada persamaan.
Ketahui berapa banyak perkara yang memulakan terowong
Empat mekanisme boleh memulakan VPN yang sama pada Mac: tindakan bar menu, item log masuk, peraturan On Demand, dan skrip atau agen. Apabila dua daripadanya tercetus, permulaan kedua mungkin tiba ketika yang pertama masih menunggu pengesahan, yang menghasilkan tetingkap berganda dan tiada kemajuan. Senaraikan dahulu apa yang dikonfigurasikan: scutil --nc list mencetak perkhidmatan VPN yang dikenali Tetapan Sistem, dengan status semasa. Klien yang membawa sambungan rangkaian sendiri menyimpan profil di dalam aplikasi dan mungkin tidak muncul di sana, jadi periksa juga senarai sambungan klien itu sendiri.
Kemudian cari pemula yang bersaing. scutil --nc show "Work VPN" mencetak kamus konfigurasi perkhidmatan terbina dalam, termasuk peraturan On Demand; peraturan yang menyambung semula pada setiap perubahan antara muka akan memulakan semula terowong — dan membuka semula gesaan pengesahan — setiap kali Wi-Fi berpindah atau paparan mengejutkan tindanan rangkaian. Periksa item log masuk di bawah Tetapan Sistem > Umum > Item Log Masuk, dan senaraikan agen setiap pengguna dengan ls ~/Library/LaunchAgents. Biarkan apa-apa milik tindanan keselamatan yang diuruskan MDM; penyingkirannya biasanya dikembalikan pada pemeriksaan seterusnya.
Untuk melihat apa yang sebenarnya berjalan semasa cubaan: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dua pembantu klien di tempat anda menjangka satu lebih kerap menjelaskan "mengapa saya menerima dua gesaan" daripada sebarang masalah kelayakan.
Baiki akses genggaman kunci tanpa menetapkan semula genggaman kunci
Gesaan itu datang daripada senarai kawalan akses item tersimpan, bukan daripada protokol VPN. Setiap item merekodkan aplikasi mana yang boleh membacanya tanpa bertanya. Selepas kemas kini klien, pembantu yang bertanya mungkin membawa nama atau tandatangan berbeza sementara item masih menyenaraikan yang lama, jadi macOS bertanya lagi pada setiap sambungan. Meluluskan pembantu baharu untuk item itu sahaja ialah keseluruhan pembaikan; meluluskan setiap aplikasi bukan.
Anda boleh mengesahkan bahawa ACL adalah puncanya tanpa menyentuh VPN: security find-generic-password -s "service-name" -g membaca item yang sama dari terminal. Jika arahan itu juga menimbulkan gesaan, dialog itu milik genggaman kunci dan terowong hanyalah pencetus. Panduan Apple tentang tiga butang — Benarkan Sekali, Sentiasa Benarkan, Tolak — wajar dibaca sekali, kerana Tolak yang membuatkan gesaan muncul semula serta-merta dan bukan pada cubaan seterusnya.
Jika anda meluluskan pembantu yang salah, buka item dalam Keychain Access, tukar ke Access Control dan buang entri itu; itulah pengunduran. Memadam genggaman kunci log masuk, atau menjalankan alat pembaikan yang membinanya semula, juga membuang kata laluan tidak berkaitan dan merupakan perubahan yang jauh lebih besar daripada masalahnya.
Kekalkan langkah log masuk dan dasar dalam aliran yang memilikinya
Log masuk pelayar atau cabaran MFA adalah milik gerbang. Jika organisasi anda menawarkan kegigihan sesi atau pengesahan berasaskan sijil, gunakannya, kerana itulah cara yang disokong untuk mengesahkan lebih jarang. Menaip kod tetap ke dalam klien, atau menyimpan kata laluan dalam skrip supaya gesaan tidak pernah muncul, menggantikan faktor interaktif dengan rahsia statik dan gagal pada kali seterusnya dasar berputar.
Pemberitahuan organisasi ialah satu-satunya kategori yang tidak patut anda tekan. Ia biasanya menguatkuasakan pemeriksaan postur atau pengakuan penggunaan yang boleh diterima, dan menyembunyikannya boleh menyebabkan peranti tidak patuh walaupun terowong berfungsi. Dialog ralat ialah kategori yang lain: simpan teks ralat pertama, kerana dialog kedua selalunya hanya kegagalan yang sama dilaporkan selepas cubaan semula.
Sahkan dengan satu cubaan, kemudian selepas but semula
Setelah pemula berganda dibuang dan entri genggaman kunci dibaiki, lakukan satu cubaan: keluar setiap instans klien termasuk pembantu bar menu, sambung sekali, dan kira tetingkap. Anda mahu kelulusan genggaman kunci, jika item itu dibina semula, dan satu langkah pengesahan. Tiada lagi. scutil --nc status "Work VPN" sepatutnya melaporkan Connected untuk perkhidmatan terbina dalam.
Kemudian but semula sekali dan ulangi. Gesaan yang kembali hanya selepas but semula menunjuk kepada item log masuk atau peraturan On Demand, bukan kelayakan; yang kembali dalam sesi menunjuk kepada ACL atau pemula kedua. Jika ia masih berulang selepas kedua-dua pusingan, perkara berguna untuk diberikan kepada pentadbir anda ialah jadual tiga baris daripada cubaan pertama — pemilik, teks tepat, fasa — bukan tangkapan skrin dialog.
Sasaran ialah lebih sedikit gesaan, bukan gesaan senyap. Sambungan yang menyembunyikan langkah kebenarannya ialah sambungan yang tidak lagi boleh anda audit, dan putaran sijil seterusnya akan menemui anda tanpa tahu komponen mana yang gagal.