Pse VPN-ja juaj në Mac kërkon akses në Keychain çdo herë
Përcaktoni cili komponent nxit çdo njoftim të VPN-së në Mac, ndaloni përpjekjet e dyfishta të lidhjes dhe riparoni aksesin në Keychain pa rivendosur të gjithë tufën e çelësave.
Një klik mbi Connect duhet të prodhojë një dritare hyrjeje. Në një Mac prodhon shpesh tre, dhe ato rrallë ndajnë të njëjtin pronar: tufa e çelësave zotëron kërkesat lokale për kredenciale, porta VPN zotëron vërtetimin, dhe klienti zotëron njoftimet e veta. Në vend që të kërkoni një çelës që hesht gjithçka, trajtoni çdo dritare si një defekt më vete me rregullimin e vet. Udhëzuesi më poshtë kalon nëpër një përpjekje të qëllimshme lidhjeje dhe përfundon me një kontroll që mund ta përsërisni.
Emërtoni pronarin e çdo dialogu përpara se të ndryshoni një cilësim
Hapi i parë është kontabiliteti, jo konfigurimi. Kryeni një përpjekje lidhjeje dhe, për çdo dritare që shfaqet, shkruani katër fusha: emrin e aplikacionit në dialog, tekstin e saktë pa asgjë sekrete, fazën në të cilën u shfaq dhe çfarë ndodhi kur e anuluat. Tre rreshta të tillë mbulojnë pothuajse çdo raport që kam parë.
Pronësia përcakton rregullimin e duhur, dhe rregullimi i gabuar është zakonisht ai që kthen një kërkesë në tre:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Një kërkesë që kthehet brenda të njëjtës përpjekje është një sinjal i ndryshëm nga ajo që kthehet në përpjekjen tjetër. E para zakonisht do të thotë që lidhja u rinis nën ju; e dyta zakonisht do të thotë që po kërkohen përsëri kredenciale të ruajtura. Shënoni cilën keni përpara se të prekni tufën e çelësave, sepse të dyja pothuajse nuk kanë asgjë të përbashkët.
Zbuloni sa gjëra po e nisin tunelin
Katër mekanizma mund të nisin të njëjtën VPN në një Mac: një veprim në shiritin e menusë, një artikull hyrjeje, një rregull On Demand dhe një skript ose agjent. Kur dy prej tyre aktivizohen, nisja e dytë mund të arrijë ndërsa e para ende pret vërtetimin, çka prodhon një dritare të dyfishtë dhe asnjë përparim. Fillimisht listoni çfarë është konfiguruar: scutil --nc list printon shërbimet VPN që njihen nga Cilësimet e Sistemit, me statusin e tyre aktual. Klientët që sjellin shtesën e tyre të rrjetit i mbajnë profilet brenda aplikacionit dhe mund të mos shfaqen atje, prandaj kontrolloni edhe listën e lidhjeve të klientit.
Më pas kërkoni nisës konkurrues. scutil --nc show "Work VPN" printon fjalorin e konfigurimit të një shërbimi të integruar, përfshirë rregullat On Demand; një rregull që rilidhet në çdo ndryshim ndërfaqeje do të rinisë tunelin — dhe do të rihapë kërkesën e vërtetimit — sa herë që Wi-Fi lëviz ose një ekran zgjon stivën e rrjetit. Kontrolloni artikujt e hyrjes te Cilësimet e Sistemit > Të përgjithshme > Artikuj Hyrjeje dhe listoni agjentët për çdo përdorues me ls ~/Library/LaunchAgents. Lini të qetë çdo gjë që i përket një stive sigurie të administruar nga MDM; heqja e saj zakonisht shtyhet përsëri në kontrollin tjetër.
Për të parë çfarë po funksionon vërtet gjatë një përpjekjeje: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dy ndihmës klienti atje ku prisni një shpjegojnë "pse mora dy kërkesa" shumë më shpesh sesa çdo problem kredencialesh.
Riparoni aksesin në tufën e çelësave pa e rivendosur atë
Kërkesa vjen nga lista e kontrollit të aksesit të artikullit të ruajtur, jo nga protokolli VPN. Çdo artikull regjistron cilat aplikacione mund ta lexojnë pa pyetur. Pas një përditësimi të klientit, ndihmësi që pyet mund të mbajë një emër ose nënshkrim tjetër ndërsa artikulli ende liston të vjetrin, prandaj macOS pyet përsëri në çdo lidhje. Miratimi i ndihmësit të ri vetëm për atë artikull është i gjithë rregullimi; miratimi i çdo aplikacioni nuk është.
Mund të konfirmoni që ACL është shkaku pa prekur VPN-në: security find-generic-password -s "service-name" -g lexon të njëjtin artikull nga një terminal. Nëse ai komandë nxit gjithashtu kërkesën, dialogu i përket tufës së çelësave dhe tuneli është thjesht nxitësi. Udhëzimet e Apple për tre butonat — Lejo një herë, Lejo gjithmonë, Refuzo — ia vlen një lexim, sepse Refuzo është ajo që e bën kërkesën të kthehet menjëherë dhe jo në përpjekjen tjetër.
Nëse keni miratuar ndihmësin e gabuar, hapni artikullin në Keychain Access, kaloni te Access Control dhe hiqni atë zë; ky është kthimi prapa. Fshirja e tufës së çelësave të hyrjes, ose ekzekutimi i një mjeti riparimi që e rindërton atë, hedh poshtë edhe fjalëkalime të palidhura dhe është një ndryshim shumë më i madh sesa problemi.
Mbajini hapat e hyrjes dhe të politikës në rrjedhat që i zotërojnë
Një hyrje përmes shfletuesit ose një sfidë MFA i përkasin portës. Nëse organizata juaj ofron vazhdimësi sesioni ose vërtetim të bazuar në certifikata, përdoreni, sepse është mënyra e mbështetur për t'u vërtetuar më rrallë. Shtypja e një kodi fiks në klient, ose ruajtja e një fjalëkalimi në një skript që kërkesa të mos shfaqet kurrë, zëvendëson një faktor interaktiv me një sekret statik dhe dështon herën tjetër që politika ndryshon.
Njoftimet e organizatës janë kategoria e vetme që nuk duhet t'i shtypni. Ato zakonisht zbatojnë një kontroll qëndrimi ose një pranim të përdorimit të pranueshëm, dhe fshehja e tyre mund ta nxjerrë pajisjen jashtë përputhshmërisë edhe kur tuneli funksionon. Dialogët e gabimit janë kategoria tjetër: ruani tekstin e gabimit të parë, sepse një dialog i dytë shpesh është thjesht i njëjti dështim i raportuar pas një përpjekjeje të re.
Verifikoni me një përpjekje, pastaj pas një rindezjeje
Pasi nisësit e dyfishtë janë hequr dhe zëri i tufës së çelësave është riparuar, bëni një përpjekje të vetme: mbyllni çdo instancë të klientit duke përfshirë ndihmësin e shiritit të menusë, lidhuni një herë dhe numëroni dritaret. Dëshironi miratimin e tufës së çelësave, nëse artikulli u rindërtua, dhe një hap vërtetimi. Asgjë më shumë. scutil --nc status "Work VPN" duhet të raportojë Connected për një shërbim të integruar.
Më pas rindizni një herë dhe përsëritni. Një kërkesë që kthehet vetëm pas një rindezjeje tregon një artikull hyrjeje ose një rregull On Demand, jo kredencialet; ajo që kthehet brenda sesionit tregon ACL-në ose një nisës të dytë. Nëse vazhdon të përsëritet pas të dy kalimeve, gjëja e dobishme për t'i dhënë administratorit tuaj është tabela me tre rreshta nga përpjekja e parë — pronar, tekst i saktë, fazë — jo një pamje ekrani e dialogut.
Qëllimi është më pak kërkesa, jo kërkesa të heshtura. Një lidhje që i fsheh hapat e autorizimit është një lidhje që nuk mund ta auditoni më, dhe rrotullimi i ardhshëm i certifikatave do t'ju gjejë pa e ditur cili komponent po dështon.