Mac-ul cere mereu parola VPN: portchei sau cont?
Mac-ul poate cere parola portcheiului de conectare, o parolă de administrator sau contul VPN propriu-zis. Citiți proprietarul dialogului, apoi reparați depozitul corect.
Deblocați Mac-ul, deschideți clientul VPN și apare o fereastră de parolă înainte ca tunelul să fi pornit. Tastați parola gateway-ului și fie este respinsă, fie fereastra revine o clipă mai târziu. Apoi o cere din nou după trezirea din repaus, o deconectare sau o actualizare a clientului. Acea fereastră rareori este serverul VPN care cere credențiale; de obicei macOS cere permisiunea de a citi, debloca sau modifica o înregistrare locală, iar parola aparține proprietarului acelei înregistrări, nu contului dvs. VPN.
Potriviți fereastra cu identitatea din spatele ei
Patru mesaje arată aproape identic și doar unul privește gateway-ul. Formularea, procesul care cere accesul și elementul numit dedesubt vă spun pe care îl aveți în față.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Un dialog despre accesul local nu dovedește nimic despre server. O respingere a gateway-ului apare în client cu textul de eroare al furnizorului, nu ca o fereastră de sistem care oferă să deblocheze un portchei. Inversul este la fel de obișnuit: tastarea parolei gateway-ului într-o fereastră de portchei lasă înregistrarea blocată și adaugă o încercare eșuată.
Dialogul numește un proprietar, un depozit și o acțiune
Mesajele portcheiului privesc recuperarea, nu autentificarea la ceva la distanță. Descrierea Apple a dialogului de cerere este îngustă: Permit o dată, Permite întotdeauna și Refuză controlează dacă aplicația poate citi elementul stocat. Niciuna dintre cele trei nu acordă un privilegiu la gateway și nu schimbă ce crede serverul despre parola dvs.
Când solicitantul este un client tocmai actualizat, re-aprobarea este de așteptat: noua versiune nu mai corespunde listei de control al accesului la element, așa că macOS întreabă din nou. Răspundeți Permit o dată în timpul diagnosticării. Permite întotdeauna este o autorizare permanentă pentru acea aplicație și răspunsul greșit pentru un proces ajutător la care nu vă așteptați; refuzați și verificați furnizorul dacă binarul nu este clientul pe care l-ați instalat.
Un mesaj care cere autorizarea administratorului este un al treilea animal. Numește o setare de sistem sau un depozit protejat care este modificat, iar credențiala cerută este un cont de administrator pe acest Mac. Nu orice element personal din portchei are nevoie de asta; cele din spatele configurației de rețea de obicei au, pentru că configurația aparține sistemului, nu sesiunii dvs. de conectare.
Unde poate locui o parolă VPN pe un Mac
Portcheiul este un depozit posibil, nu definiția unui depozit. O configurație VPN încorporată creată în Setările sistemului își păstrează credențialele împreună cu configurația de rețea, ca setare de sistem administrată. Un client terț păstrează de obicei un element în portcheiul de conectare: o parolă generică legată de un nume de serviciu sau o parolă de internet legată de server, protocol și cont. Multe aplicații mai noi folosesc în schimb portcheiul de protecție a datelor, ale cărui elemente nu apar niciodată în Acces la portchei.
Oamenii caută numele VPN în Acces la portchei, nu găsesc nimic și concluzionează că parola nu este stocată. Nota TN3137 a Apple spune că există mai mult de o implementare de portchei; absența din acea listă este normală, nu dovada unui element defect.
Nici tipurile de înregistrare nu sunt interschimbabile. O parolă de cont, o frază de acces pentru cheie privată, un certificat de client și un secret partajat IPsec eșuează diferit și se repară în locuri diferite; rescrierea unei parole salvate nu face nimic pentru un certificat respins. Dacă Mac-ul este înscris într-o administrare, profilul este un alt proprietar: o încărcătură VPN poate purta credențiale și le reaplică la reîmprospătare, așa că ștergerea unui element local este temporară până când un administrator îl schimbă.
Când parola de conectare și parola portcheiului se despart
Portcheiul de conectare folosește de obicei parola de conectare a Mac-ului, motiv pentru care cele două pot diverge. Un administrator care vă resetează parola din alt cont, un flux de recuperare sau o schimbare de director pot lăsa portcheiul blocat pe vechea valoare, iar macOS cere apoi o parolă pe care nu tocmai ați setat-o.
La conectare puteți vedea un avertisment că sistemul nu a putut debloca portcheiul. Actualizarea lui cere parola veche, ceea ce este în regulă dacă v-o amintiți și inutil dacă nu. Cele două reparații oneste sunt Acces la portchei, Editează, Schimbă parola pentru portcheiul “login”, sau un portchei de conectare nou, cu credențialele necesare reintroduse. A doua opțiune distruge elementele stocate.
Nu resetați întregul portchei pentru că un VPN respinge o credențială veche: asta elimină conturi fără legătură și tot nu identifică elementul.
O comandă lămurește întrebarea local versus la distanță. Cereți portcheiului elementul direct:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gFolosiți serverul și contul din setările clientului. Dacă aceeași fereastră de aprobare apare când cereți dvs. portcheiului, mesajul este local, iar serverul este spectator. Dacă elementul nu există, clientul nu stochează parola unde ați presupus. Indicatorul -g tipărește secretul în terminal, așa că evitați partajarea ecranului.
Actualizați înregistrarea pe care clientul o citește de fapt
Dacă contul s-a schimbat la gateway, schimbați-l mai întâi acolo, apoi actualizați înregistrarea stocată prin setările clientului. Editarea manuală a unui element din portchei nu este fiabilă: clientul poate citi o altă pereche serviciu-cont, iar un profil administrat va suprascrie modificarea.
Pentru un element suspectat învechit, potriviți serviciul, contul și protocolul înainte de a șterge ceva:
security delete-generic-password -s "Client Name" -a [email protected]Ștergerea unui element cu nume similar din altă conexiune este o întrerupere auto-provocată obișnuită. Eliminarea este doar locală: nu revocă o sesiune la gateway, nu dezleagă un certificat de dispozitiv și nu schimbă parola contului.
Confirmați că remedierea supraviețuiește unei reporniri
Conectați-vă, treziți din repaus, deconectați-vă și reconectați-vă, apoi reporniți o dată. O secvență curată, fără fereastră și cu starea clientului care numește contul așteptat, este singura dovadă care contează. Locul în care revine mesajul arată ce strat ați ratat: după o actualizare este aprobarea, după o schimbare de rețea este mesajul clientului, după o repornire este un profil care reaplică starea.
Verificați în client o setare de memorare a parolei sau de întrebare mereu înainte de a atinge din nou portcheiul. Unele configurații, în special IKEv2 cu autentificare per utilizator, întreabă prin proiectare la fiecare conectare; repararea portcheiului nu va ajuta.
Notați elementul pe care l-ați schimbat, depozitul căruia îi aparținea și contul asociat, ca următorul mesaj să dureze secunde până îl localizați. Pagina Cereri de acces la portchei a Apple este referința pentru ce autorizează cele trei butoane.