Какой элемент связки ключей держит ваш вход в VPN устаревшим?

Смотрите, как Mac предлагает старый пароль, смотрите, как вход завершается неудачей, и очевидный следующий шаг превращается в полный сброс связки ключей. Это исправление дорогое и обычно нацелено на неверный элемент. Устаревший пароль, истёкший сертификат и заблокированная учётная запись все дают отказ, и только один из них живёт в записи связки ключей, которую можно удалить. Прочитайте запрос, прежде чем что-либо удалять.

Три сбоя, три разных удаления

Пароль учётной записи — это секрет, который клиент отправляет шлюзу, и его удаление вынуждает пользователя ввести новый. Парольная фраза закрытого ключа открывает файл ключа, поэтому удаление записи с фразой оставляет ключ целым, но делает его непригодным, пока кто-нибудь снова не введёт фразу. Клиентский сертификат имеет срок действия, и никакое количество удалений паролей его не продлевает. Это три объекта с тремя владельцами, и текст ошибки клиента называет, какой из них не сработал.

Сравнение не академическое, потому что выбор неверного стоит цикла поддержки и учит пользователя, что исправление случайно. Ошибка истечения сертификата переживает каждый сброс пароля, а запись пароля, которая постоянно возвращается, может принадлежать другой службе, а не VPN. Сначала сопоставьте ошибку с объектом, затем решите, удалять, вводить заново или продлевать.

Сброс всей связки ключей удаляет учётные данные для почты, браузеров и других служб. Это крайняя мера с собственной стоимостью восстановления, а не шаг устранения неполадок VPN.

Прочитайте запрос и учётную запись, прежде чем трогать элемент

Прочитайте точную ошибку, затем прочитайте, какую учётную запись использует клиент. Вход на сайт провайдера и учётные данные шлюза часто являются разными учётными записями, и клиент может сохранять одну, пока пользователь сбрасывает другую. Проверьте имя профиля и имя пользователя в настройках клиента. Если они не совпадают с тем, что считает пользователь, сохранённый пароль не устарел; он принадлежит чему-то другому.

Отклонённый сертификат обычно сообщает об истечении срока или недоверенной цепочке, а не о сбое аутентификации, тогда как заблокированная учётная запись сообщает о политике или блокировке. Эти сообщения исходят из разных уровней, что делает формулировку самым быстрым способом их различить. Скопируйте сообщение в тикет, потому что это единственное доказательство, которое переживёт следующую попытку.

Найдите элемент, который действительно владеет секретом

Начните с собственного управления забытым паролем в клиенте, когда оно есть, потому что это поддерживаемый путь, и он нацелен на нужную запись. Если придётся открыть Keychain Access, ищите по имени службы из конфигурации клиента, а не по слову VPN, которое совпадает слишком со многим. Проверьте выбранный элемент перед удалением: его учётная запись, тип и дата изменения должны соответствовать истории. Элемент, последний раз изменённый годы назад, вероятно, не тот, который клиент только что использовал.

Отсутствие в одном представлении не доказывает, что ничего не сохранено. Элементы могут жить в связке ключей входа, в связке ключей iCloud или внутри управляемого профиля, и каждая из них — отдельный контейнер с другими правилами доступа. Проверьте собственный список клиента и системный список, прежде чем заключать, что секрет отсутствует.

Для управляемого Mac используйте процедуру удаления администратора. Удаление вокруг ограничений профиля оставляет устройство в состоянии, которое следующая проверка политик отменит.

Переподключитесь один раз, затем остановитесь

После удаления или обновления элемента сделайте одну попытку входа через поддерживаемый поток. Одна попытка отвечает на вопрос, а пять попыток отвечают блокировкой учётной записи. Если формулировка отказа меняется, удаление сработало, и оставшийся сбой находится на другом уровне. Если он повторяется идентично, восстановите удалённое и вернитесь к запросу.

Удаление локального элемента оставляет учётные данные в службе нетронутыми. Когда секрет мог быть увиден кем-то другим, рассматривайте это как задачу ротации и используйте поток провайдера для замены пароля или замены ключа, потому что копия в связке ключей была одним из нескольких мест, где он существовал. Локальная очистка и удалённый отзыв — отдельные операции с отдельными владельцами.

Сравните, что может обещать каждое исправление

Удаление записи пароля обещает, что клиент снова запросит пароль, и ничего больше. Замена сертификата обещает новый срок действия, но только если служба выпуска доступна и профиль обновлён. Ротация пароля или ключа обещает, что старый секрет перестанет работать, и это единственное исправление, которое помогает, когда беспокоит раскрытие. Выберите нужное обещание и затем выполните эту операцию.

Запишите результат в тикет: какой элемент удалён, какие учётные данные ротированы и какой вход удался. Следующему человеку с тем же симптомом нужна эта карта соответствия, а не история о перестроенной связке ключей. Руководство Apple по Keychain Access описывает контейнеры и их правила доступа, и именно эту часть люди обычно угадывают.