Mac vedno znova zahteva geslo VPN: snop ključev ali račun?
Mac lahko zahteva geslo snopa ključev za prijavo, skrbniško geslo ali sam račun VPN. Preberite lastnika pogovornega okna in popravite pravo shrambo.
Odklenete Mac, odprete odjemalca VPN in okno z geslom se pojavi, še preden se tunel sploh začne. Vnesete geslo prehoda in bodisi ga zavrnejo bodisi se okno čez trenutek vrne. Nato ga znova zahteva po prebuditvi iz spanja, odjavi ali posodobitvi odjemalca. To okno le redko pomeni, da strežnik VPN zahteva poverilnice; običajno macOS zahteva dovoljenje za branje, odklepanje ali spreminjanje lokalnega zapisa, geslo pa pripada lastniku tega zapisa, ne vašemu računu VPN.
Okno povežite z identiteto, ki stoji za njim
Štirje pozivi so skoraj enaki in le eden zadeva prehod. Besedilo, postopek, ki zahteva dostop, in spodaj navedeni element vam povesta, s katerim se soočate.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Pogovorno okno o lokalnem dostopu ne dokaže ničesar o strežniku. Zavrnitev prehoda se pojavi znotraj odjemalca z besedilom napake ponudnika, ne kot sistemsko okno, ki ponuja odklepanje snopa ključev. Obratno je prav tako običajno: vnos gesla prehoda v okno snopa ključev pusti zapis zaklenjen in doda neuspešen poskus.
Pogovorno okno navaja lastnika, shrambo in dejanje
Pozivi snopa ključev zadevajo pridobivanje, ne preverjanje pristnosti do nečesa oddaljenega. Applov opis poziva je ozek: Dovoli enkrat, Vedno dovoli in Zavrni nadzirajo, ali lahko aplikacija prebere shranjeni element. Nobena od treh ne podeli privilegija na prehodu niti ne spremeni, kaj si strežnik misli o vašem geslu.
Ko je prosilec odjemalec, ki je bil pravkar posodobljen, je ponovna odobritev pričakovana: nova različica se ne ujema več s seznamom za nadzor dostopa elementa, zato macOS znova vpraša. Med diagnosticiranjem odgovorite Dovoli enkrat. Vedno dovoli je trajno dovoljenje tej aplikaciji in napačen odgovor za pomožni postopek, ki ga niste pričakovali; zavrnite in preverite ponudnika, če binarna datoteka ni odjemalec, ki ste ga namestili.
Poziv za skrbniško odobritev je tretja vrsta. Navaja sistemsko nastavitev ali zaščiteno shrambo, ki se spreminja, in poverilnica, ki jo zahteva, je skrbniški račun na tem Macu. Vsak osebni element snopa ključev tega ne potrebuje; tisti za omrežno konfiguracijo običajno ga, ker konfiguracija pripada sistemu, ne vaši prijavni seji.
Kje lahko živi geslo VPN na Macu
Snop ključev je ena možna shramba, ne definicija shrambe. Vgrajena konfiguracija VPN, ustvarjena v Sistemskih nastavitvah, hrani poverilnice skupaj z omrežno konfiguracijo kot upravljano sistemsko nastavitev. Odjemalec tretje strani običajno hrani element v prijavnem snopu ključev: splošno geslo, vezano na ime storitve, ali internetno geslo, vezano na strežnik, protokol in račun. Številne novejše aplikacije namesto tega uporabljajo snop ključev za zaščito podatkov, katerega elementi se nikoli ne pojavijo v Dostopu do snopa ključev.
Ljudje iščejo ime VPN v Dostopu do snopa ključev, ne najdejo ničesar in sklepajo, da geslo ni shranjeno. Applov zapis TN3137 pravi, da obstaja več kot ena izvedba snopa ključev; odsotnost s tega seznama je običajna, ne dokaz pokvarjenega elementa.
Tudi vrste zapisov niso zamenljive. Geslo računa, geslo zasebnega ključa, odjemalski certifikat in skupna skrivnost IPsec odpovedo različno in se popravljajo na različnih mestih; ponovno vpisovanje shranjenega gesla ne pomaga pri zavrnjenem certifikatu. Če je Mac vpisan v upravljanje, je profil še en lastnik: korist VPN lahko nosi poverilnice in jih ob osvežitvi znova uporabi, zato je brisanje lokalnega elementa začasno, dokler ga skrbnik ne spremeni.
Ko se prijavno geslo in geslo snopa ključev razideta
Prijavni snop ključev običajno uporablja vaše prijavno geslo za Mac, zato se lahko razideta. Skrbnik, ki vam ponastavi geslo iz drugega računa, postopek obnovitve ali sprememba imenika lahko pustijo snop ključev zaklenjen na stari vrednosti in macOS nato zahteva geslo, ki ga pravkar niste nastavili.
Ob prijavi lahko vidite opozorilo, da sistem ni mogel odkleniti snopa ključev. Za posodobitev potrebujete staro geslo, kar je v redu, če se ga spomnite, in neuporabno, če se ga ne. Dve pošteni popravili sta Dostop do snopa ključev, Uredi, Spremeni geslo snopa ključev “login”, ali nov prijavni snop ključev s ponovno vnesenimi potrebnimi poverilnicami. Druga možnost uniči shranjene elemente.
Ne ponastavite celega snopa ključev zato, ker ena VPN zavrača stare poverilnice: to odstrani nepovezane račune in še vedno ne prepozna elementa.
En ukaz razreši vprašanje lokalno proti oddaljeno. Snop ključev prosite za element neposredno:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gUporabite strežnik in račun iz nastavitev odjemalca. Če se isto okno za odobritev pojavi, ko sami prosite snop ključev, je poziv lokalen in strežnik je samo opazovalec. Če takega elementa ni, odjemalec ne shranjuje gesla tam, kjer ste predvidevali. Zastavica -g izpiše skrivnost v terminal, zato se izogibajte deljenju zaslona.
Posodobite zapis, ki ga odjemalec dejansko bere
Če se je račun spremenil na prehodu, ga najprej spremenite tam, nato posodobite shranjeni zapis prek nastavitev odjemalca. Ročno urejanje elementa snopa ključev ni zanesljivo: odjemalec lahko bere drug par storitve in računa, upravljani profil pa bo prepisal vašo spremembo.
Za element, za katerega sumite, da je zastarel, uskladite storitev, račun in protokol, preden karkoli izbrišete:
security delete-generic-password -s "Client Name" -a [email protected]Brisanje podobno imenovanega elementa iz druge povezave je pogosta samopovzročena prekinitev. Odstranitev je le lokalna: ne prekliče seje na prehodu, ne odveže certifikata naprave in ne spremeni gesla računa.
Potrdite, da popravek preživi ponovni zagon
Povežite se, prebudite iz spanja, odjavite se in znova prijavite, nato enkrat znova zaženite. Čisto zaporedje brez okna in s stanjem odjemalca, ki navaja pričakovani račun, je edini dokaz, ki šteje. Kje se poziv vrne, pove, kateri sloj ste zgrešili: po posodobitvi je to odobritev, po spremembi omrežja poziv samega odjemalca, po ponovnem zagonu profil, ki znova uveljavlja stanje.
Preden se znova dotaknete snopa ključev, v odjemalcu preverite nastavitev za zapomnitev gesla ali vedno vprašaj. Nekatere konfiguracije, zlasti IKEv2 s preverjanjem po uporabniku, vprašajo po zasnovi ob vsaki povezavi; popravilo snopa ključev ne bo pomagalo.
Zapišite element, ki ste ga spremenili, shrambo, ki ga je imela v lasti, in račun, ki mu je pripadal, da bo naslednji poziv mogoče umestiti v sekundah. Applova stran Zahteve za dostop do snopa ključev je referenca za to, kaj ti trije gumbi odobrijo.