Mac stále žiada heslo VPN: zväzok kľúčov alebo účet?
Mac môže žiadať heslo zväzku kľúčov na prihlásenie, heslo správcu alebo samotný účet VPN. Prečítajte si vlastníka dialógu a opravte správne úložisko.
Odomknete Mac, otvoríte klienta VPN a okno s heslom sa objaví skôr, než sa tunel vôbec spustil. Zadáte heslo brány a buď ho odmietnu, alebo sa okno o chvíľu vráti. Potom sa znova opýta po prebudení zo spánku, odhlásení alebo aktualizácii klienta. To okno zriedka žiada prihlasovacie údaje pre server VPN; zvyčajne macOS žiada povolenie prečítať, odomknúť alebo zmeniť miestny záznam a heslo patrí vlastníkovi tohto záznamu, nie vášmu účtu VPN.
Priraďte okno k identite, ktorá za ním stojí
Štyri výzvy vyzerajú takmer rovnako a len jedna sa týka brány. Formulácia, proces žiadajúci prístup a položka uvedená nižšie vám povedia, ktorej čelíte.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Dialóg o miestnom prístupe nič nedokazuje o serveri. Odmietnutie bránou sa objaví vnútri klienta s chybovým textom dodavateľa, nie ako systémové okno ponúkajúce odomknutie zväzku kľúčov. Opak je rovnako bežný: zadanie hesla brány do okna zväzku kľúčov nechá záznam zamknutý a pridá neúspešný pokus.
Dialóg uvádza vlastníka, úložisko a akciu
Výzvy zväzku kľúčov sa týkajú získania, nie overenia voči niečomu vzdialenému. Apple opis výzvy je úzky: Povoliť raz, Vždy povoliť a Odmietnuť určujú, či aplikácia môže prečítať uloženú položku. Žiadna z troch neudeľuje privilégium na bráne ani nemení to, čo si server myslí o vašom hesle.
Keď je žiadateľom klient, ktorý sa práve aktualizoval, opätovné schválenie je očakávané: nové zostavenie už nezodpovedá zoznamu riadenia prístupu položky, takže macOS sa znova opýta. Pri diagnostike odpovedzte Povoliť raz. Vždy povoliť je trvalé povolenie pre túto aplikáciu a nesprávna odpoveď pre pomocný proces, ktorý ste nečakali; odmietnite a overte dodavateľa, ak binárka nie je klient, ktorého ste nainštalovali.
Výzva žiadajúca autorizáciu správcu je tretie zviera. Uvádza systémové nastavenie alebo chránené úložisko, ktoré sa mení, a požadovaný údaj je účet správcu na tomto Macu. Nie každá osobná položka zväzku kľúčov to potrebuje; tie za sieťovou konfiguráciou zvyčajne áno, pretože konfigurácia patrí systému, nie vašej prihlasovacej relácii.
Kde môže heslo VPN na Macu žiť
Zväzok kľúčov je jedno možné úložisko, nie definícia úložiska. Vstavaná konfigurácia VPN vytvorená v Systémových nastaveniach uchováva prihlasovacie údaje spolu so sieťovou konfiguráciou ako spravované systémové nastavenie. Klient tretej strany zvyčajne drží položku vo zväzku kľúčov na prihlásenie: všeobecné heslo viazané na názov služby alebo internetové heslo viazané na server, protokol a účet. Mnohé novšie aplikácie namiesto toho používajú zväzok kľúčov ochrany údajov, ktorého položky sa nikdy neobjavia v Prístupe k zväzku kľúčov.
Ľudia hľadajú názov VPN v Prístupe k zväzku kľúčov, nič nenájdu a usúdia, že heslo nie je uložené. Poznámka Apple TN3137 hovorí, že existuje viac ako jedna implementácia zväzku kľúčov; absencia v tom zozname je normálna, nie dôkaz pokazenej položky.
Ani typy záznamov nie sú zameniteľné. Heslo účtu, prístupová fráza súkromného kľúča, klientsky certifikát a zdieľané tajomstvo IPsec zlyhávajú rôzne a opravujú sa na rôznych miestach; prepísanie uloženého hesla nič neurobí pre odmietnutý certifikát. Ak je Mac zapísaný do správy, profil je ďalší vlastník: užitočné zaťaženie VPN môže niesť prihlasovacie údaje a pri obnovení ich znovu použije, takže vymazanie miestnej položky je dočasné, kým ho správca nezmení.
Keď sa prihlasovacie heslo a heslo zväzku kľúčov rozídu
Zväzok kľúčov na prihlásenie zvyčajne používa vaše prihlasovacie heslo k Macu, preto sa môžu rozísť. Správca, ktorý vám obnoví heslo z iného účtu, proces obnovy alebo zmena adresára môžu nechať zväzok kľúčov zamknutý na starej hodnote a macOS potom žiada heslo, ktoré ste práve nenastavili.
Pri prihlásení môžete vidieť upozornenie, že systém nemohol odomknúť zväzok kľúčov. Aktualizácia vyžaduje staré heslo, čo je v poriadku, ak si ho pamätáte, a zbytočné, ak nie. Dve poctivé opravy sú Prístup k zväzku kľúčov, Upraviť, Zmeniť heslo zväzku kľúčov “login”, alebo nový zväzok kľúčov na prihlásenie s opätovne zadanými potrebnými údajmi. Druhá možnosť ničí uložené položky.
Neresetujte celý zväzok kľúčov preto, že jedna VPN odmietne staré prihlasovacie údaje: to odstráni nesúvisiace účty a stále neurčí položku.
Jeden príkaz vyrieši otázku miestne verzus vzdialene. Požiadajte zväzok kľúčov o položku priamo:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gPoužite server a účet z nastavení klienta. Ak sa pri vašej žiadosti o položku zväzku kľúčov objaví rovnaké okno schválenia, výzva je miestna a server je len divák. Ak taká položka neexistuje, klient neukladá heslo tam, kde ste predpokladali. Prepínač -g vypíše tajomstvo do terminálu, preto sa vyhnite zdieľaniu obrazovky.
Aktualizujte záznam, ktorý klient skutočne číta
Ak sa účet zmenil na bráne, najprv ho zmeňte tam, potom aktualizujte uložený záznam cez nastavenia klienta. Ručná úprava položky zväzku kľúčov nie je spoľahlivá: klient môže čítať inú dvojicu služby a účtu a spravovaný profil prepíše vašu úpravu.
Pri podozrení na zastaranú položku zosúlaďte službu, účet a protokol pred akýmkoľvek vymazaním:
security delete-generic-password -s "Client Name" -a [email protected]Vymazanie podobne pomenovanej položky z iného pripojenia je častý samovoľne spôsobený výpadok. Odstránenie je len miestne: nezruší reláciu na bráne, neodviaže certifikát zariadenia ani nezmení heslo účtu.
Potvrďte, že oprava prežije reštart
Pripojte sa, prebuďte zo spánku, odhláste sa a znova prihláste, potom raz reštartujte. Čistá postupnosť bez okna a so stavom klienta, ktorý uvádza očakávaný účet, je jediný dôkaz, ktorý sa počíta. Miesto, kde sa výzva vráti, prezradí, ktorú vrstvu ste minuli: po aktualizácii je to schválenie, po zmene siete výzva samotného klienta, po reštarte profil znova aplikujúci stav.
Skôr než sa znova dotknete zväzku kľúčov, skontrolujte v klientovi nastavenie zapamätania hesla alebo vždy sa opýtať. Niektoré konfigurácie, najmä IKEv2 s overovaním podľa používateľa, sa pýtajú zámerne pri každom pripojení; oprava zväzku kľúčov nepomôže.
Zapíšte si položku, ktorú ste zmenili, úložisko, ktoré ju vlastnilo, a účet, ku ktorému patrila, aby ďalšia výzva trvala sekundy. Stránka Žiadosti o prístup k zväzku kľúčov od Apple je referenciou pre to, čo tieto tri tlačidlá autorizujú.