Mac held fram med å spørje etter VPN-passord: nøkkelring eller konto?

Du låser opp Macen, opnar VPN-klienten, og eit passordark dukkar opp før tunnelen i det heile har starta. Du skriv inn gateway-passordet, og det vert anten avvist eller arket kjem tilbake eit augneblink seinare. Deretter spør det igjen etter oppvakning frå dvale, utlogging eller ei klientoppdatering. Det arket er sjeldan VPN-tenaren som ber om påloggingsinformasjon; som regel ber macOS om løyve til å lese, låse opp eller endre ei lokal oppføring, og passordet høyrer til eigaren av den oppføringa, ikkje VPN-kontoen din.

Match arket med identiteten bak det

Fire ledetekstar ser nesten identiske ut, og berre éin gjeld gatewayen. Ordlyden, prosessen som ber om tilgang og elementet som er nemnt nedanfor, fortel deg kva for ein du står overfor.

Ein dialog om lokal tilgang beviser ingenting om tenaren. Ei avvising frå gatewayen viser seg inne i klienten med feilteksten frå leverandøren, ikkje som eit systemark som tilbyr å låse opp ein nøkkelring. Det motsette er like vanleg: å skrive gateway-passordet i eit nøkkelringsark lèt oppføringa vere låst og legg til eit mislukka forsøk.

Dialogen nemner ein eigar, eit lager og ei handling

Nøkkelring-ledetekstane handlar om henting, ikkje om autentisering mot noko eksternt. Skildringa til Apple av førespurnadsdialogen er snever: Tillat éin gong, Tillat alltid og Avslå styrer om den appen kan lese det lagra elementet. Ingen av dei tre gir ei rett på gatewayen eller endrar kva tenaren meiner om passordet ditt.

Når den som spør er ein klient som nettopp er oppdatert, er ny godkjenning venta: den nye versjonen samsvarar ikkje lenger med tilgangskontrollista på elementet, så macOS spør igjen. Svar Tillat éin gong medan du feilsøkjer. Tillat alltid er ei ståande løyve til den appen og det gale svaret for ein hjelpeprosess du ikkje venta; avslå og sjekk leverandøren om binærfila ikkje er klienten du installerte.

Ein ledetekst som ber om administratorgodkjenning er ein tredje type. Han nemner ei systeminnstilling eller eit verna lager som vert endra, og påloggingsinformasjonen han vil ha er ein administratorkonto på denne Macen. Ikkje kvart personlege nøkkelringselement treng det; dei bak nettverkskonfigurasjonen treng det vanlegvis, fordi konfigurasjonen høyrer til systemet, ikkje økta di.

Kvar eit VPN-passord på ein Mac kan bu

Nøkkelringen er eitt mogeleg lager, ikkje definisjonen på eit lager. Ein innebygd VPN-konfigurasjon laga i Systeminnstillingar oppbevarer påloggingsinformasjonen saman med nettverkskonfigurasjonen, som ei administrert systeminnstilling. Ein tredjepartsklient lagrar vanlegvis eit element i påloggingsnøkkelringen din: eit generisk passord med nøkkel på eit tenestenamn eller eit internettpassord med nøkkel på tenar, protokoll og konto. Mange nyare appar brukar i staden datavem-nøkkelringen, der elementa aldri viser seg i Nøkkelringtilgang.

Folk søkjer etter VPN-namnet i Nøkkelringtilgang, finn ingenting og konkluderer med at passordet ikkje er lagra. TN3137-notatet til Apple seier at det finst meir enn éin nøkkelringimplementasjon; fråvær frå den lista er normalt, ikkje bevis på eit øydelagt element.

Oppføringstypane er heller ikkje utskiftbare. Eit kontopassord, ei passfrase for ein privat nøkkel, eit klientsertifikat og ein delt IPsec-hemmelegheit feilar ulikt og vert reparerte på ulike stader; å skrive inn eit lagra passord på nytt gjer ingenting for eit avvist sertifikat. Om Macen er påmeldt administrasjon, er profilen ein annan eigar: ei VPN-nyttelast kan bere påloggingsinformasjon og bruke han på nytt ved oppdatering, så sletting av eit lokalt element er mellombels til ein administrator endrar det.

Når påloggingspassordet og nøkkelringpassordet glir frå kvarandre

Påloggingsnøkkelringen brukar vanlegvis Mac-innloggingspassordet ditt, og difor kan dei to gli frå kvarandre. Ein administrator som nullstiller passordet ditt frå ein annan konto, ein gjenopprettingsflyt eller ei katalogendring kan la nøkkelringen vere låst til den gamle verdien, og macOS ber då om eit passord du ikkje nettopp har sett.

Ved pålogging kan du sjå ei åtvaring om at systemet ikkje kunne låse opp nøkkelringen. Oppdatering krev det gamle passordet, noko som er greitt om du hugsar det og ubrukeleg om du ikkje gjer det. Dei to ærlege reparasjonane er Nøkkelringtilgang, Rediger, Endre passord for nøkkelring "login", eller ein ny påloggingsnøkkelring med nødvendig påloggingsinformasjon skriven inn på nytt. Det andre alternativet øydelegg lagra element.

Ikkje nullstill heile nøkkelringen fordi éin VPN avviser ein gammal påloggingsinformasjon: det fjernar urelaterte kontoar og identifiserer framleis ikkje elementet.

Éin kommando avgjer spørsmålet lokalt kontra eksternt. Spør nøkkelringen direkte om elementet:

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Bruk tenaren og kontoen frå innstillingane til klienten. Om det same godkjenningsarket viser seg når du sjølv spør nøkkelringen, er ledeteksten lokal og tenaren er ein tilskodar. Om eit slikt element ikkje finst, lagrar ikkje klienten passordet der du antok. Flagget -g skriv hemmelegheita til terminalen, så unnvik skjermdeling.

Oppdater oppføringa klienten faktisk les

Om kontoen er endra på gatewayen, endre han der først, og oppdater deretter den lagra oppføringa via innstillingane til klienten. Å redigere eit nøkkelringselement manuelt er upåliteleg: klienten kan lese eit anna teneste-og-konto-par, og ein administrert profil overskriv endringa di.

For eit element som er mistenkt å vere utdatert, match teneste, konto og protokoll før du slettar noko:

security delete-generic-password -s "Client Name" -a [email protected]

Å slette eit liknande namngjeve element frå ei anna tilkopling er eit vanleg sjølvpåført avbrot. Fjerning er berre lokalt: det tilbakekallar ikkje ei økt på gatewayen, løyser ikkje ut eit einingssertifikat og endrar ikkje passordet til kontoen.

Stadfest at reparasjonen overlever ein omstart

Kopla til, vakne opp frå dvale, logg ut og inn igjen, og start deretter på nytt éin gong. Ein rein sekvens utan ark og ein klientstatus som nemner den venta kontoen er det einaste beviset som tel. Kvar ledeteksten kjem tilbake fortel deg kva lag du gjekk glipp av: etter ei oppdatering er det godkjenning, etter ei nettverksendring klienten si eiga ledetekst, etter ein omstart ein profil som brukar tilstanden på nytt.

Sjekk klienten for ei innstilling om å hugse passordet eller alltid spørje før du rører nøkkelringen igjen. Nokre konfigurasjonar, særleg IKEv2 med autentisering per brukar, spør ved design ved kvar tilkopling; nøkkelringreparasjon vil ikkje hjelpe.

Skriv ned kva element du endra, kva lager som åtte det og kva konto det høyrde til, slik at neste ledetekst kan plasserast på sekund. Sida til Apple Førespurnader om nøkkelringtilgang er referansen for kva dei tre knappane godkjenner.