Mac стално тражи лозинку за VPN: привезак кључева или налог?
Mac може тражити лозинку привеска за пријаву, администраторску лозинку или сам VPN налог. Прочитајте ко је власник дијалога, па поправите право складиште.
Откључате Mac, отворите VPN клијент и лист за лозинку се појави пре него што је тунел уопште почео. Укуцате лозинку мрежног пролаза и она бива одбијена или се лист врати који тренутак касније. Затим поново пита после буђења из спавања, одјаве или ажурирања клијента. Тај лист ретко је VPN сервер који тражи податке за пријаву; обично macOS тражи дозволу да чита, откључа или измени локални запис, а лозинка припада власнику тог записа, не вашем VPN налогу.
Ускладите лист са идентитетом иза њега
Четири упита изгледају готово исто, а само један се тиче мрежног пролаза. Формулација, процес који тражи приступ и ставка наведена испод казују који је пред вама.
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
Дијалог о локалном приступу не доказује ништа о серверу. Одбијање мрежног пролаза појављује се унутар клијента са добављачевим текстом грешке, а не као системски лист који нуди откључавање привеска. Обрнуто је исто тако често: куцање лозинке мрежног пролаза у лист привеска оставља запис закључан и додаје неуспешан покушај.
Дијалог именује власника, складиште и радњу
Упити привеска тичу се дохвата, а не аутентификације према било чему удаљеном. Apple-ов опис дијалога за захтев је узак: Дозволи једном, Дозволи увек и Одбиј контролишу да ли та апликација сме да чита сачувану ставку. Ниједан од та три не даје привилегију на мрежном пролазу нити мења шта сервер мисли о вашој лозинки.
Када је подносилац захтева клијент који је управо ажуриран, поновно одобрење је очекивано: нова верзија више не одговара контролној листи приступа на ставци, па macOS пита поново. Одговорите Дозволи једном док дијагностикујете. Дозволи увек је трајна дозвола тој апликацији и погрешан одговор за помоћни процес који нисте очекивали; одбијте и проверите добављача ако бинарни фајл није клијент који сте инсталирали.
Упит који тражи администраторско овлашћење је трећа врста ствари. Он именује системску поставку или заштићено складиште које се мења, а податак који тражи је администраторски налог на овом Mac-у. Није свака лична ставка привеска захтева то; оне иза мрежне конфигурације обично захтевају, јер конфигурација припада систему, а не вашој сесији пријаве.
Где на Mac-у може стајати VPN лозинка
Привезак је једно могуће складиште, а не дефиниција складишта. Уграђена VPN конфигурација направљена у системским поставкама чува своје податке за пријаву уз мрежну конфигурацију, као управљану системску поставку. Клијент треће стране обично држи ставку у вашем привеску за пријаву: генеричку лозинку везану за назив услуге или интернет лозинку везану за сервер, протокол и налог. Многе новије апликације користе уместо тога привезак за заштиту података, чије се ставке никада не појављују у Приступу привеску.
Људи траже VPN назив у Приступу привеску, не нађу ништа и закључе да лозинка није сачувана. Apple-ова белешка TN3137 каже да постоји више од једне имплементације привеска; одсуство са тог списка је нормално, а не доказ оштећене ставке.
Ни врсте записа нису заменљиве. Лозинка налога, лозинка за приватни кључ, клијентски сертификат и дељена IPsec тајна падају различито и поправљају се на различитим местима; поновно куцање сачуване лозинке не чини ништа за одбијен сертификат. Ако је Mac уписан у управљање, профил је још један власник: VPN профил може носити податке за пријаву и вратити их при освежавању, па је брисање локалне ставке привремено док администратор то не промени.
Када се лозинка за пријаву и лозинка привеска разиђу
Привезак за пријаву обично користи лозинку за пријаву на Mac, због чега се две могу разићи. Администратор који ресетује лозинку са другог налога, поступак опоравка или промена директоријума могу оставити привезак закључан на стару вредност, а macOS тада тражи лозинку коју нисте управо поставили.
При пријави можете видети упозорење да систем није могао да откључа привезак. Његово ажурирање тражи стару лозинку, што је у реду ако је памтите и бескорисно ако је не памтите. Два поштена поправка су Приступ привеску, Уреди, Промени лозинку привеска „login“, или нови привезак за пријаву у који поново уносите потребне податке. Друга опција уништава сачуване ставке.
Не ресетујте цео привезак зато што један VPN одбија стари податак: то уклања неповезане налоге и још увек не идентификује ставку.
Једна команда решава питање локално наспрам удаљеног. Питајте привезак директно за ставку:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gКористите сервер и налог из подешавања вашег клијента. Ако се исти лист за одобрење појави када сами питате привезак, упит је локалан, а сервер је посматрач. Ако таква ставка не постоји, клијент не чува лозинку тамо где сте претпоставили. Заставица -g исписује тајну у терминал, па избегавајте дељење екрана.
Ажурирајте запис који клијент заиста чита
Ако се налог променио на мрежном пролазу, прво га промените тамо, а затим ажурирајте сачувани запис кроз подешавања клијента. Ручно уређивање ставке привеска је непоуздано: клијент може читати други пар услуге и налога, а управљани профил ће прегазити вашу измену.
За ставку за коју сумњате да је застарела, ускладите услугу, налог и протокол пре него што било шта избришете:
security delete-generic-password -s "Client Name" -a [email protected]Брисање слично назване ставке са друге везе чест је самонанесен прекид. Уклањање је само локално: оно не опозива сесију на мрежном пролазу, не одвезује сертификат уређаја нити мења лозинку налога.
Потврдите да поправка преживи поновно покретање
Повежите се, пробудите из спавања, одјавите се и поново пријавите, па једном поново покрените. Чиста секвенца без листа и са статусом клијента који именује очекивани налог једини је доказ који се рачуна. Место на ком се упит враћа казује који сте слој пропустили: после ажурирања то је одобрење, после промене мреже сопствени упит клијента, после поновног покретања профил који враћа стање.
Проверите код клијента поставку памћења лозинке или увек питај пре него што поново дирате привезак. Неке конфигурације, нарочито IKEv2 са аутентификацијом по кориснику, питају по дизајну при свакој вези; поправка привеска неће помоћи.
Запишите ставку коју сте изменили, складиште које ју је поседовало и налог ком је припадала, да би следећи упит трајао секунде. Apple-ова страница Захтеви за приступ привеску је референца за то шта та три дугмета одобравају.