Mac ciągle pyta o hasło VPN: pęk kluczy czy konto?
Mac może żądać hasła pęku kluczy logowania, hasła administratora albo samego konta VPN. Przeczytaj, do kogo należy okno, i napraw właściwy magazyn.
Odblokowujesz Maca, otwierasz klienta VPN, a okno hasła pojawia się, zanim tunel w ogóle wystartował. Wpisujesz hasło bramy i albo zostaje odrzucone, albo okno wraca chwilę później. Potem pyta ponownie po wybudzeniu z uśpienia, wylogowaniu lub aktualizacji klienta. To okno rzadko jest serwerem VPN proszącym o dane logowania; zwykle macOS prosi o zgodę na odczyt, odblokowanie lub zmianę lokalnego rekordu, a hasło należy do właściciela tego rekordu, nie do Twojego konta VPN.
Dopasuj okno do tożsamości, która za nim stoi
Cztery monity wyglądają niemal identycznie, a tylko jeden dotyczy bramy. Sformułowanie, proces proszący o dostęp i element nazwany poniżej mówią, z którym masz do czynienia.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Okno o dostępie lokalnym niczego nie dowodzi w sprawie serwera. Odmowa bramy pojawia się w kliencie z tekstem błędu dostawcy, a nie jako okno systemowe oferujące odblokowanie pęku kluczy. Odwrotnie jest równie często: wpisanie hasła bramy w oknie pęku kluczy zostawia rekord zablokowany i dodaje nieudaną próbę.
Okno nazywa właściciela, magazyn i działanie
Monity pęku kluczy dotyczą pobierania, a nie uwierzytelniania wobec czegoś zdalnego. Opis Apple okna żądania jest wąski: Zezwól raz, Zawsze zezwalaj i Odrzuć kontrolują, czy ta aplikacja może odczytać zapisany element. Żadne z trzech nie daje uprawnienia na bramie ani nie zmienia tego, co serwer sądzi o Twoim haśle.
Gdy proszącym jest klient świeżo po aktualizacji, ponowna zgoda jest oczekiwana: nowa kompilacja nie pasuje już do listy kontroli dostępu elementu, więc macOS pyta ponownie. Podczas diagnozy odpowiadaj Zezwól raz. Zawsze zezwalaj to stała zgoda dla tej aplikacji i zła odpowiedź dla nieoczekiwanego procesu pomocniczego; odmów i sprawdź dostawcę, jeśli plik binarny nie jest klientem, który zainstalowałeś.
Monit proszący o autoryzację administratora to trzeci rodzaj. Nazywa zmieniane ustawienie systemowe lub chroniony magazyn, a żądane dane to konto administratora na tym Macu. Nie każdy osobisty element pęku kluczy tego wymaga; te za konfiguracją sieci zwykle tak, bo konfiguracja należy do systemu, a nie do Twojej sesji.
Gdzie hasło VPN może mieszkać na Macu
Pęk kluczy to jeden z możliwych magazynów, a nie definicja magazynu. Wbudowana konfiguracja VPN utworzona w Ustawieniach systemowych trzyma dane logowania razem z konfiguracją sieci, jako zarządzane ustawienie systemowe. Klient firmy trzeciej zwykle trzyma element w Twoim pęku kluczy logowania: hasło ogólne z kluczem według nazwy usługi albo hasło internetowe z kluczem według serwera, protokołu i konta. Wiele nowszych aplikacji używa zamiast tego pęku kluczy ochrony danych, którego elementy nigdy nie pojawiają się w Dostępie do pęku kluczy.
Ludzie szukają nazwy VPN w Dostępie do pęku kluczy, nic nie znajdują i wnioskują, że hasło nie jest zapisane. Nota Apple TN3137 mówi, że istnieje więcej niż jedna implementacja pęku kluczy; brak na tej liście jest normalny, a nie dowodem zepsutego elementu.
Typy rekordów też nie są wymienne. Hasło konta, fraza hasła klucza prywatnego, certyfikat klienta i wspólny sekret IPsec zawodzą inaczej i są naprawiane w różnych miejscach; ponowne wpisanie zapisanego hasła nic nie daje odrzuconemu certyfikatowi. Jeśli Mac jest zapisany w zarządzaniu, profil jest innym właścicielem: ładunek VPN może nieść dane logowania i stosować je ponownie przy odświeżaniu, więc usunięcie lokalnego elementu jest tymczasowe, dopóki administrator tego nie zmieni.
Gdy hasło logowania i hasło pęku kluczy się rozjeżdżają
Pęk kluczy logowania zwykle używa Twojego hasła logowania do Maca, dlatego oba mogą się rozjechać. Administrator resetujący Twoje hasło z innego konta, proces odzyskiwania lub zmiana w katalogu mogą zostawić pęk kluczy zablokowany na starą wartość, a wtedy macOS prosi o hasło, którego właśnie nie ustawiłeś.
Przy logowaniu możesz zobaczyć ostrzeżenie, że system nie mógł odblokować pęku kluczy. Aktualizacja wymaga starego hasła, co jest dobre, jeśli je pamiętasz, i bezużyteczne, jeśli nie. Dwie uczciwe naprawy to Dostęp do pęku kluczy, Edycja, Zmień hasło do pęku kluczy "login", albo nowy pęk kluczy logowania z ponownie wpisanymi potrzebnymi danymi. Druga opcja niszczy zapisane elementy.
Nie resetuj całego pęku kluczy, bo jedna VPN odrzuca stare dane: to usuwa niepowiązane konta i nadal nie identyfikuje elementu.
Jedno polecenie rozstrzyga kwestię lokalne kontra zdalne. Zapytaj pęk kluczy wprost o element:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUżyj serwera i konta z ustawień klienta. Jeśli to samo okno zgody pojawia się, gdy sam pytasz pęk kluczy, monit jest lokalny, a serwer jest widzem. Jeśli taki element nie istnieje, klient nie zapisuje hasła tam, gdzie zakładałeś. Flaga -g wypisuje sekret w terminalu, więc unikaj udostępniania ekranu.
Zaktualizuj rekord, który klient naprawdę czyta
Jeśli konto zmieniło się na bramie, zmień je najpierw tam, a potem zaktualizuj zapisany rekord przez ustawienia klienta. Ręczna edycja elementu pęku kluczy jest zawodna: klient może czytać inną parę usługi i konta, a profil zarządzany nadpisze Twoją zmianę.
Dla elementu podejrzanego o przedawnienie dopasuj usługę, konto i protokół, zanim cokolwiek usuniesz:
security delete-generic-password -s "Client Name" -a [email protected]Usunięcie podobnie nazwanego elementu z innego połączenia to częsta awaria, którą sam sobie sprawiasz. Usunięcie jest tylko lokalne: nie unieważnia sesji na bramie, nie odłącza certyfikatu urządzenia i nie zmienia hasła konta.
Potwierdź, że naprawa przetrwa ponowne uruchomienie
Połącz się, wybudź z uśpienia, wyloguj się i zaloguj ponownie, a potem raz zrestartuj. Czysta sekwencja bez okna i status klienta wskazujący oczekiwane konto to jedyny dowód, który się liczy. Miejsce, w którym monit wraca, mówi, którą warstwę pominąłeś: po aktualizacji to zgoda, po zmianie sieci własny monit klienta, po restarcie profil ponownie stosujący stan.
Sprawdź w kliencie ustawienie zapamiętaj hasło lub zawsze pytaj, zanim znów dotkniesz pęku kluczy. Niektóre konfiguracje, zwłaszcza IKEv2 z uwierzytelnianiem na użytkownika, pytają z założenia przy każdym połączeniu; naprawa pęku kluczy nie pomoże.
Zapisz, który element zmieniłeś, który magazyn go posiadał i do którego konta należał, żeby następny monit dało się umiejscowić w sekundach. Strona Apple Prośby o dostęp do pęku kluczy to odniesienie do tego, co zatwierdzają te trzy przyciski.