Zašto vaš Mac VPN svaki put traži pristup Keychainu
Utvrdite koji komponent podiže svaki Mac VPN upit, zaustavite duplicirane pokušaje povezivanja i popravite pristup Keychainu bez resetiranja cijelog privjeska ključeva.
Jedan klik na Connect trebao bi dati jedan prozor za prijavu. Na Macu često daje tri, i rijetko dijele istog vlasnika: lokalne upite za vjerodajnice posjeduje Keychain, VPN gateway posjeduje autentifikaciju, a klijent posjeduje vlastite obavijesti. Umjesto traženja prekidača koji utišava sve, tretirajte svaki prozor kao zaseban defekt s vlastitim popravkom. Priručnik ispod prolazi kroz jedan namjerni pokušaj povezivanja i završava provjerom koju možete ponoviti.
Imenujte vlasnika svakog dijaloga prije nego promijenite postavku
Prvi korak je evidencija, ne konfiguracija. Napravite jedan pokušaj povezivanja i za svaki prozor koji se pojavi zapišite četiri polja: naziv aplikacije u dijalogu, točan tekst bez ičega tajnog, fazu u kojoj se pojavio i što se dogodilo kada ste ga otkazali. Tri takva retka pokrivaju gotovo svaki izvještaj koji sam vidio.
Vlasništvo odlučuje o ispravnom popravku, a pogrešan popravak obično pretvara jedan upit u tri:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Upit koji se vrati unutar istog pokušaja drugačiji je signal od onog koji se vrati u sljedećem pokušaju. Prvi obično znači da se veza ponovno pokrenula pod vama; drugi obično znači da se ponovno traže pohranjene vjerodajnice. Zabilježite koji imate prije nego dotaknete Keychain, jer ta dva gotovo da nemaju ništa zajedničko.
Saznajte koliko stvari pokreće tunel
Četiri mehanizma mogu pokrenuti isti VPN na Macu: radnja u traci izbornika, stavka za prijavu, On Demand pravilo i skripta ili agent. Kada se dva od njih aktiviraju, drugi početak može doći dok prvi još čeka autentifikaciju, što stvara duplicirani prozor i nikakav napredak. Prvo popišite što je konfigurirano: scutil --nc list ispisuje VPN servise koje Sistemske postavke poznaju, s njihovim trenutnim statusom. Klijenti koji isporučuju vlastito mrežno proširenje drže profile unutar aplikacije i možda se neće pojaviti tamo, pa provjerite i klijentov vlastiti popis veza.
Zatim potražite konkurentske pokretače. scutil --nc show "Work VPN" ispisuje rječnik konfiguracije ugrađenog servisa, uključujući On Demand pravila; pravilo koje se ponovno povezuje na svaku promjenu sučelja ponovno će pokrenuti tunel — i ponovno otvoriti upit za autentifikaciju — svaki put kad se Wi-Fi premjesti ili zaslon probudi mrežni stog. Provjerite stavke za prijavu pod Sistemske postavke > Općenito > Stavke za prijavu i popišite agente po korisniku pomoću ls ~/Library/LaunchAgents. Ne dirajte ništa što posjeduje sigurnosni stog kojim upravlja MDM; uklanjanje se obično vraća pri sljedećoj provjeri.
Da vidite što stvarno radi tijekom pokušaja: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dva klijentska pomoćnika tamo gdje očekujete jedan objašnjavaju "zašto sam dobio dva upita" mnogo češće od bilo kojeg problema s vjerodajnicama.
Popravite pristup Keychainu bez resetiranja Keychaina
Upit dolazi s popisa kontrole pristupa pohranjene stavke, ne iz VPN protokola. Svaka stavka bilježi koje je aplikacije smiju čitati bez pitanja. Nakon ažuriranja klijenta pomoćnik koji pita može nositi drugo ime ili potpis dok stavka još navodi stari, pa macOS pita ponovno pri svakoj vezi. Odobravanje novog pomoćnika za tu jednu stavku cijeli je popravak; odobravanje svake aplikacije nije.
Možete potvrditi da je ACL uzrok bez diranja VPN-a: security find-generic-password -s "service-name" -g čita istu stavku iz terminala. Ako ta naredba također izazove upit, dijalog pripada Keychainu, a tunel je samo okidač. Appleove upute o tri gumba — Dopusti jednom, Uvijek dopusti, Odbij — vrijedi pročitati jednom, jer Odbij je ono što čini da se upit odmah vrati, a ne u sljedećem pokušaju.
Ako ste odobrili pogrešnog pomoćnika, otvorite stavku u Keychain Accessu, prijeđite na Access Control i uklonite taj unos; to je vraćanje. Brisanje Keychaina za prijavu ili pokretanje alata za popravak koji ga ponovno gradi također odbacuje nepovezane zaporke i mnogo je veća promjena od problema.
Držite korake prijave i pravila u tokovima koji ih posjeduju
Prijava putem preglednika ili MFA izazov pripadaju gatewayu. Ako vaša organizacija nudi postojanost sesije ili autentifikaciju temeljenu na certifikatima, koristite je, jer je to podržani način da se autentificirate rjeđe. Upisivanje fiksnog koda u klijent ili pohranjivanje zaporke u skriptu da se upit nikad ne pojavi zamjenjuje interaktivni faktor statičnom tajnom i pada pri sljedećoj rotaciji pravila.
Obavijesti organizacije jedina su kategorija koju ne biste trebali potiskivati. One obično provode provjeru stanja ili potvrdu prihvatljivog korištenja, a njihovo skrivanje može staviti uređaj izvan sukladnosti čak i dok tunel radi. Dijalozi s pogreškama druga su kategorija: sačuvajte tekst prve pogreške, jer je drugi dijalog često samo isti neuspjeh prijavljen nakon ponovnog pokušaja.
Provjerite jednim pokušajem, zatim nakon ponovnog pokretanja
Kad su duplicirani pokretači uklonjeni i unos u Keychainu popravljen, napravite jedan pokušaj: zatvorite svaku instancu klijenta uključujući pomoćnika u traci izbornika, povežite se jednom i prebrojite prozore. Želite odobrenje Keychaina, ako je stavka ponovno izgrađena, i jedan korak autentifikacije. Ništa više. scutil --nc status "Work VPN" trebao bi prijaviti Connected za ugrađeni servis.
Zatim jednom ponovno pokrenite i ponovite. Upit koji se vraća samo nakon ponovnog pokretanja upućuje na stavku za prijavu ili On Demand pravilo, ne na vjerodajnice; onaj koji se vraća unutar sesije upućuje na ACL ili na drugi pokretač. Ako se i dalje ponavlja nakon oba prolaza, korisna stvar koju treba dati administratoru je tablica s tri retka iz prvog pokušaja — vlasnik, točan tekst, faza — a ne snimka zaslona dijaloga.
Cilj je manje upita, a ne tihi. Veza koja skriva svoje korake autorizacije veza je koju više ne možete revidirati, a sljedeća rotacija certifikata zateći će vas bez pojma koji komponent ne radi.