O Mac pede sempre a palavra-passe da VPN: chaveiro ou conta?
O Mac pode pedir a palavra-passe do chaveiro de início de sessão, a palavra-passe de administrador ou a própria conta VPN. Leia o dono da caixa de diálogo e corrija a loja certa.
Desbloqueia o Mac, abre o cliente VPN e aparece uma janela de palavra-passe antes mesmo de o túnel arrancar. Introduz a palavra-passe do gateway e ela é rejeitada ou a janela volta um momento depois. Depois volta a pedi-la após o despertar da suspensão, um fim de sessão ou uma atualização do cliente. Raramente é o servidor VPN a pedir credenciais; normalmente é o macOS a pedir autorização para ler, desbloquear ou alterar um registo local, e a palavra-passe pertence ao dono desse registo, não à sua conta VPN.
Associe a janela à identidade que está por trás
Quatro avisos parecem quase iguais e só um diz respeito ao gateway. O texto, o processo que pede acesso e o item indicado por baixo dizem-lhe qual está a enfrentar.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Uma caixa de diálogo sobre acesso local não prova nada sobre o servidor. Uma rejeição do gateway aparece dentro do cliente com o texto de erro do fabricante, não como uma janela do sistema a propor desbloquear um chaveiro. O inverso é igualmente comum: escrever a palavra-passe do gateway numa janela do chaveiro deixa o registo bloqueado e acrescenta uma tentativa falhada.
A caixa de diálogo indica um dono, uma loja e uma ação
Os avisos do chaveiro dizem respeito à obtenção, não à autenticação em algo remoto. A descrição da Apple sobre a caixa de diálogo de pedido é limitada: Permitir Uma Vez, Permitir Sempre e Recusar controlam se essa aplicação pode ler o item guardado. Nenhuma das três concede um privilégio no gateway nem altera o que o servidor pensa da sua palavra-passe.
Quando o requerente é um cliente que acabou de ser atualizado, é de esperar nova aprovação: a nova versão já não corresponde à lista de controlo de acesso do item, pelo que o macOS volta a perguntar. Responda Permitir Uma Vez durante o diagnóstico. Permitir Sempre é uma autorização permanente a essa aplicação e a resposta errada para um processo auxiliar que não esperava; recuse e verifique o fabricante se o binário não for o cliente que instalou.
Um aviso a pedir autorização de administrador é um terceiro animal. Indica uma definição do sistema ou uma loja protegida que está a ser alterada, e a credencial que pede é uma conta de administrador neste Mac. Nem todos os itens pessoais do chaveiro precisam disso; os que estão por trás da configuração de rede normalmente precisam, porque a configuração pertence ao sistema, não à sua sessão de início de sessão.
Onde pode viver uma palavra-passe VPN no Mac
O chaveiro é uma loja possível, não a definição de loja. Uma configuração VPN integrada criada nas Definições do Sistema guarda as credenciais com a configuração de rede, como uma definição de sistema gerida. Um cliente de terceiros costuma guardar um item no chaveiro de início de sessão: uma palavra-passe genérica indexada por um nome de serviço, ou uma palavra-passe de internet indexada por servidor, protocolo e conta. Muitas aplicações recentes usam antes o chaveiro de proteção de dados, cujos itens nunca aparecem no Acesso às Chaves.
As pessoas procuram o nome da VPN no Acesso às Chaves, não encontram nada e concluem que a palavra-passe não está guardada. A nota TN3137 da Apple diz que existe mais do que uma implementação de chaveiro; a ausência dessa lista é normal, não é prova de um item avariado.
Os tipos de registo também não são intercambiáveis. Uma palavra-passe de conta, uma frase-passe de chave privada, um certificado de cliente e um segredo partilhado IPsec falham de formas diferentes e são reparados em locais diferentes; voltar a escrever uma palavra-passe guardada não resolve um certificado rejeitado. Se o Mac estiver inscrito numa gestão, o perfil é outro dono: uma carga VPN pode transportar credenciais e reaplicá-las na atualização, pelo que apagar um item local é temporário até um administrador o alterar.
Quando a palavra-passe de início de sessão e a do chaveiro divergem
O chaveiro de início de sessão usa normalmente a sua palavra-passe de início de sessão do Mac, e é por isso que as duas podem divergir. Um administrador que reponha a sua palavra-passe a partir de outra conta, um fluxo de recuperação ou uma alteração de diretório podem deixar o chaveiro bloqueado com o valor antigo, e o macOS passa então a pedir uma palavra-passe que não acabou de definir.
Ao iniciar sessão pode ver um aviso de que o sistema não conseguiu desbloquear o chaveiro. Atualizá-lo exige a palavra-passe antiga, o que é bom se se lembrar dela e inútil se não se lembrar. As duas reparações honestas são o Acesso às Chaves, Editar, Alterar Palavra-Passe do Chaveiro “login”, ou um chaveiro de início de sessão novo com as credenciais necessárias introduzidas de novo. A segunda opção destrói os itens guardados.
Não reponha o chaveiro inteiro só porque uma VPN rejeita uma credencial antiga: isso elimina contas não relacionadas e continua a não identificar o item.
Um comando resolve a questão local versus remota. Peça o item diretamente ao chaveiro:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUse o servidor e a conta das definições do seu cliente. Se a mesma janela de aprovação aparecer quando pede o item ao chaveiro, o aviso é local e o servidor é um espetador. Se esse item não existir, o cliente não está a guardar a palavra-passe onde assumiu. A flag -g imprime o segredo no terminal, por isso evite partilhar o ecrã.
Atualize o registo que o cliente realmente lê
Se a conta mudou no gateway, mude-a primeiro aí e só depois atualize o registo guardado através das definições do cliente. Editar um item do chaveiro à mão não é fiável: o cliente pode ler um par serviço-e-conta diferente, e um perfil gerido substitui a sua edição.
Para um item suspeito de estar obsoleto, confira serviço, conta e protocolo antes de apagar seja o que for:
security delete-generic-password -s "Client Name" -a [email protected]Apagar um item com nome semelhante de outra ligação é uma interrupção autoinfligida comum. A remoção é apenas local: não revoga uma sessão no gateway, não desvincula um certificado de dispositivo nem altera a palavra-passe da conta.
Confirme que a correção sobrevive a um reinício
Ligue-se, desperte da suspensão, termine e reinicie a sessão e depois reinicie o Mac uma vez. Uma sequência limpa, sem janela e com o estado do cliente a indicar a conta esperada, é a única prova que conta. O local onde o aviso regressa indica a camada que falhou: depois de uma atualização é aprovação, depois de uma alteração de rede é o aviso do próprio cliente, depois de um reinício é um perfil a reaplicar estado.
Verifique no cliente se existe uma definição de memorizar palavra-passe ou de perguntar sempre antes de voltar a mexer no chaveiro. Algumas configurações, em especial IKEv2 com autenticação por utilizador, perguntam por desenho em cada ligação; reparar o chaveiro não ajuda.
Anote o item que alterou, a loja a que pertencia e a conta associada, para que o próximo aviso leve segundos a situar. A página Pedidos de acesso às Chaves da Apple é a referência para o que esses três botões autorizam.