Prečo váš Mac VPN pri každom pripojení žiada prístup ku Keychain
Zistite, ktorý komponent vyvoláva každé okno Mac VPN, zastavte duplicitné pokusy o pripojenie a opravte prístup ku Keychain bez resetovania celej zväzku kľúčov.
Jedno kliknutie na Connect by malo dať jedno prihlasovacie okno. Na Macu ich často dáva tri a len zriedka majú rovnakého vlastníka: lokálne výzvy na prihlasovacie údaje vlastní zväzok kľúčov, brána VPN vlastní autentifikáciu a klient vlastní svoje vlastné oznámenia. Namiesto hľadania prepínača, ktorý všetko umlčí, berte každé okno ako samostatnú chybu s vlastnou opravou. Nasledujúci postup prejde jedným zámerným pokusom o pripojenie a skončí kontrolou, ktorú môžete zopakovať.
Pomenujte vlastníka každého dialógu pred zmenou nastavenia
Prvý krok je evidencia, nie konfigurácia. Vykonajte jeden pokus o pripojenie a pri každom okne, ktoré sa objaví, zapíšte štyri polia: názov aplikácie v dialógu, presný text bez čohokoľvek tajného, fázu, v ktorej sa objavilo, a čo sa stalo, keď ste ho zrušili. Tri takéto riadky pokrývajú takmer každý report, ktorý som videl.
Vlastníctvo určuje správnu opravu a nesprávna oprava je zvyčajne to, čo zmení jednu výzvu na tri:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Výzva, ktorá sa vráti v rámci toho istého pokusu, je iný signál ako tá, ktorá sa vráti pri ďalšom pokuse. Prvá zvyčajne znamená, že spojenie sa reštartovalo pod vami; druhá zvyčajne znamená, že sa znova pýta na uložené prihlasovacie údaje. Poznačte si, ktorú máte, skôr než sa dotknete zväzku kľúčov, pretože tieto dve nemajú takmer nič spoločné.
Zistite, koľko vecí spúšťa tunel
Ten istý VPN na Macu môžu spustiť štyri mechanizmy: akcia v riadku ponuky, prihlasovacia položka, pravidlo On Demand a skript alebo agent. Keď sa aktivujú dva, druhé spustenie môže doraziť, kým prvé ešte čaká na autentifikáciu, čo vytvorí duplicitné okno a žiadny pokrok. Najprv vypíšte, čo je nakonfigurované: scutil --nc list vypíše služby VPN, ktoré poznajú Systémové nastavenia, s ich aktuálnym stavom. Klienti, ktorí dodávajú vlastné sieťové rozšírenie, držia profily v aplikácii a nemusia sa tam zobraziť, preto skontrolujte aj vlastný zoznam pripojení klienta.
Potom hľadajte konkurenčné spúšťače. scutil --nc show "Work VPN" vypíše konfiguračný slovník vstavanej služby vrátane pravidiel On Demand; pravidlo, ktoré sa znova pripojí pri každej zmene rozhrania, reštartuje tunel — a znova otvorí výzvu na autentifikáciu — zakaždým, keď sa Wi-Fi presunie alebo displej zobudí sieťový zásobník. Skontrolujte prihlasovacie položky v Systémové nastavenia > Všeobecné > Prihlasovacie položky a vypíšte agentov pre používateľa pomocou ls ~/Library/LaunchAgents. Nechajte na pokoji všetko, čo patrí bezpečnostnému zásobníku spravovanému MDM; jeho odstránenie sa zvyčajne pri ďalšej kontrole vráti.
Aby ste videli, čo počas pokusu skutočne beží: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dvaja klientski pomocníci tam, kde čakáte jedného, vysvetľujú „prečo som dostal dve výzvy“ oveľa častejšie než akýkoľvek problém s prihlasovacími údajmi.
Opravte prístup ku Keychain bez resetovania zväzku kľúčov
Výzva pochádza zo zoznamu riadenia prístupu uloženej položky, nie z protokolu VPN. Každá položka zaznamenáva, ktoré aplikácie ju môžu čítať bez toho, aby sa pýtali. Po aktualizácii klienta môže mať pomocník, ktorý sa pýta, iné meno alebo podpis, zatiaľ čo položka stále uvádza starý, takže macOS sa pýta znova pri každom pripojení. Schválenie nového pomocníka pre tú jednu položku je celá oprava; schválenie každej aplikácie nie je.
Môžete potvrdiť, že príčinou je ACL, bez toho, aby ste sa dotkli VPN: security find-generic-password -s "service-name" -g číta tú istú položku z terminálu. Ak aj tento príkaz vyvolá výzvu, dialóg patrí zväzku kľúčov a tunel je len spúšťač. Apple usmernenia k trom tlačidlám — Povoliť raz, Povoliť vždy, Odmietnuť — stoja za jedno prečítanie, pretože práve Odmietnuť spôsobí, že sa výzva vráti okamžite, a nie pri ďalšom pokuse.
Ak ste schválili nesprávneho pomocníka, otvorte položku v Prístupe k zväzku kľúčov, prepnite na Riadenie prístupu a odstráňte ten záznam; to je vrátenie. Zmazanie prihlasovacieho zväzku kľúčov alebo spustenie opravného nástroja, ktorý ho prestavia, tiež zahodí nesúvisiace heslá a je oveľa väčšou zmenou než problém.
Držte prihlasovacie a politické kroky v tokoch, ktorým patria
Prihlásenie v prehliadači alebo výzva MFA patria bráne. Ak vaša organizácia ponúka trvácnosť relácie alebo autentifikáciu založenú na certifikátoch, použite ju, pretože je to podporovaný spôsob, ako sa autentifikovať menej často. Zadávanie pevného kódu do klienta alebo ukladanie hesla do skriptu, aby sa výzva nikdy neobjavila, nahrádza interaktívny faktor statickým tajomstvom a zlyhá pri ďalšej zmene politiky.
Oznámenia organizácie sú jedinou kategóriou, ktorú by ste nemali potláčať. Zvyčajne vynucujú kontrolu stavu alebo potvrdenie prijateľného používania, a ich skrytie môže vyradiť zariadenie zo súladu, aj keď tunel funguje. Dialógy chýb sú druhá kategória: uchovajte text prvej chyby, pretože druhý dialóg je často len to isté zlyhanie hlásené po opakovaní.
Overte jedným pokusom, potom po reštarte
Po odstránení duplicitných spúšťačov a oprave záznamu v zväzku kľúčov vykonajte jediný pokus: ukončite každú inštanciu klienta vrátane pomocníka v riadku ponuky, pripojte sa raz a spočítajte okná. Chcete schválenie zväzku kľúčov, ak bola položka prestavaná, a jeden krok autentifikácie. Nič viac. scutil --nc status "Work VPN" by mal hlásiť Connected pre vstavanú službu.
Potom raz reštartujte a zopakujte. Výzva, ktorá sa vracia len po reštarte, ukazuje na prihlasovaciu položku alebo pravidlo On Demand, nie na prihlasovacie údaje; tá, ktorá sa vracia v rámci relácie, ukazuje na ACL alebo na druhý spúšťač. Ak sa stále opakuje po oboch prechodoch, užitočná vec, ktorú môžete dať správcovi, je tabuľka s tromi riadkami z prvého pokusu — vlastník, presný text, fáza — nie snímka obrazovky dialógu.
Cieľom je menej výziev, nie tiché. Pripojenie, ktoré skrýva svoje autorizačné kroky, je pripojenie, ktoré už nemôžete auditovať, a ďalšia rotácia certifikátov vás zastihne bez tušenia, ktorý komponent zlyháva.