Mac stalno traži lozinku VPN-a: privjesak ili račun?

Otključate Mac, otvorite VPN klijent i pojavi se prozor za lozinku prije nego što je tunel uopće počeo. Upišete lozinku pristupnika i ona bude odbijena ili se prozor vrati koji trenutak kasnije. Zatim je ponovno traži nakon buđenja iz sna, odjave ili ažuriranja klijenta. Taj prozor rijetko je VPN poslužitelj koji traži vjerodajnice; obično macOS traži dopuštenje da pročita, otključa ili promijeni lokalni zapis, a lozinka pripada vlasniku tog zapisa, a ne vašem VPN računu.

Uparite prozor s identitetom koji stoji iza njega

Četiri upita izgledaju gotovo jednako, a samo se jedan tiče pristupnika. Formulacija, proces koji traži pristup i stavka navedena ispod govore s kojim se suočavate.

Dijalog o lokalnom pristupu ne dokazuje ništa o poslužitelju. Odbijanje pristupnika pojavljuje se unutar klijenta s tekstom pogreške dobavljača, a ne kao sistemski prozor koji nudi otključavanje privjeska. Obrnuto je jednako uobičajeno: upisivanje lozinke pristupnika u prozor privjeska ostavlja zapis zaključanim i dodaje neuspjeli pokušaj.

Dijalog imenuje vlasnika, spremište i radnju

Upiti privjeska odnose se na dohvat, a ne na autentifikaciju prema nečemu udaljenom. Appleov opis upita je uzak: Dopusti jednom, Uvijek dopusti i Odbij kontroliraju smije li ta aplikacija čitati pohranjenu stavku. Nijedna od tri opcije ne daje privilegiju na pristupniku niti mijenja što poslužitelj misli o vašoj lozinci.

Kada je podnositelj klijent koji je upravo ažuriran, ponovno odobrenje je očekivano: nova verzija više ne odgovara popisu kontrole pristupa stavke, pa macOS ponovno pita. Tijekom dijagnostike odgovorite Dopusti jednom. Uvijek dopusti trajna je dozvola toj aplikaciji i pogrešan odgovor za pomoćni proces koji niste očekivali; odbijte i provjerite dobavljača ako binarna datoteka nije klijent koji ste instalirali.

Upit koji traži administratorsko ovlaštenje treća je vrsta. Imenuje sistemsku postavku ili zaštićeno spremište koje se mijenja, a vjerodajnica koju traži jest administratorski račun na ovom Macu. Ne treba to svaka osobna stavka privjeska; onima iza mrežne konfiguracije obično treba, jer konfiguracija pripada sustavu, a ne vašoj sesiji prijave.

Gdje sve može živjeti lozinka VPN-a na Macu

Privjesak je jedno moguće spremište, a ne definicija spremišta. Ugrađena VPN konfiguracija stvorena u Sistemskim postavkama čuva vjerodajnice uz mrežnu konfiguraciju, kao upravljanu sistemsku postavku. Klijent treće strane obično drži stavku u privjesku za prijavu: generičku lozinku vezanu uz naziv usluge ili internetsku lozinku vezanu uz poslužitelj, protokol i račun. Mnoge novije aplikacije umjesto toga koriste privjesak za zaštitu podataka, čije se stavke nikad ne pojavljuju u Pristupu privjesku.

Ljudi traže naziv VPN-a u Pristupu privjesku, ne nađu ništa i zaključe da lozinka nije pohranjena. Appleova bilješka TN3137 kaže da postoji više od jedne implementacije privjeska; odsutnost s tog popisa normalna je, a ne dokaz neispravne stavke.

Ni vrste zapisa nisu zamjenjive. Lozinka računa, zaporka privatnog ključa, klijentski certifikat i zajednička tajna IPsec-a ne uspijevaju na različite načine i popravljaju se na različitim mjestima; ponovno upisivanje spremljene lozinke ne pomaže kod odbijenog certifikata. Ako je Mac upisan u upravljanje, profil je drugi vlasnik: VPN teret može nositi vjerodajnice i ponovno ih primijeniti pri osvježavanju, pa je brisanje lokalne stavke privremeno dok ga administrator ne promijeni.

Kada se lozinka za prijavu i lozinka privjeska raziđu

Privjesak za prijavu obično koristi vašu lozinku za prijavu na Mac, zbog čega se njih dvije mogu razići. Administrator koji vam resetira lozinku iz drugog računa, postupak oporavka ili promjena imenika mogu ostaviti privjesak zaključan na staroj vrijednosti, a macOS tada traži lozinku koju niste upravo postavili.

Pri prijavi možete vidjeti upozorenje da sustav nije mogao otključati privjesak. Ažuriranje traži staru lozinku, što je u redu ako je se sjećate i beskorisno ako ne. Dva iskrena popravka su Pristup privjesku, Uredi, Promijeni lozinku privjeska “login”, ili novi privjesak za prijavu s ponovno unesenim potrebnim vjerodajnicama. Druga opcija uništava pohranjene stavke.

Ne resetirajte cijeli privjesak zato što jedan VPN odbija stare vjerodajnice: to uklanja nepovezane račune i još uvijek ne identificira stavku.

Jedna naredba rješava pitanje lokalno nasuprot udaljeno. Zatražite stavku izravno od privjeska:

security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -g

Upotrijebite poslužitelj i račun iz postavki klijenta. Ako se isti prozor odobrenja pojavi kad sami zatražite stavku od privjeska, upit je lokalni, a poslužitelj je promatrač. Ako takva stavka ne postoji, klijent ne pohranjuje lozinku tamo gdje ste pretpostavili. Zastavica -g ispisuje tajnu u terminal, pa izbjegavajte dijeljenje zaslona.

Ažurirajte zapis koji klijent stvarno čita

Ako se račun promijenio na pristupniku, prvo ga promijenite tamo, a zatim ažurirajte pohranjeni zapis kroz postavke klijenta. Ručno uređivanje stavke privjeska nije pouzdano: klijent može čitati drugi par usluge i računa, a upravljani profil prebrisat će vaše uređivanje.

Za stavku za koju sumnjate da je zastarjela usporedite uslugu, račun i protokol prije nego što bilo što izbrišete:

security delete-generic-password -s "Client Name" -a [email protected]

Brisanje slično nazvane stavke iz druge veze čest je samoizazvani prekid. Uklanjanje je samo lokalno: ono ne opoziva sesiju na pristupniku, ne odvezuje certifikat uređaja i ne mijenja lozinku računa.

Potvrdite da popravak preživljava ponovno pokretanje

Povežite se, probudite iz sna, odjavite se i ponovno prijavite, zatim jednom ponovno pokrenite Mac. Čist slijed bez prozora i sa statusom klijenta koji imenuje očekivani račun jedini je dokaz koji se računa. Mjesto na kojem se upit vraća govori koji ste sloj propustili: nakon ažuriranja to je odobrenje, nakon promjene mreže upit samog klijenta, nakon ponovnog pokretanja profil koji ponovno primjenjuje stanje.

Provjerite u klijentu postavku pamćenja lozinke ili stalnog pitanja prije nego što ponovno dirnete privjesak. Neke konfiguracije, posebno IKEv2 s provjerom po korisniku, pitaju po dizajnu pri svakom povezivanju; popravak privjeska neće pomoći.

Zapišite stavku koju ste promijenili, spremište koje ju je posjedovalo i račun kojem je pripadala, da sljedeći upit smjestite u sekundi. Appleova stranica Zahtjevi za pristup privjesku referenca je za ono što ta tri gumba odobravaju.