Зашто ваш Mac VPN сваки пут тражи приступ Keychain-у
Утврдите која компонента изазива сваки упит Mac VPN-а, зауставите дупле покушаје повезивања и поправите приступ Keychain-у без ресетовања целог привеска кључева.
Један клик на Connect треба да да један прозор за пријаву. На Mac-у често даје три, и они ретко деле истог власника: привезак кључева поседује локалне захтеве за акредитиве, VPN портал поседује аутентификацију, а клијент – сопствена обавештења. Уместо да тражите прекидач који утишава све, третирајте сваки прозор као засебан дефект са својим решењем. Упутство испод пролази кроз један намерни покушај повезивања и завршава се провером коју можете да поновите.
Именујте власника сваког дијалога пре него што промените поставку
Први корак је књиговодство, не конфигурација. Обавите један покушај повезивања и за сваки прозор који се појави запишите четири поља: назив апликације у дијалогу, тачан текст без ичега тајног, фазу у којој се појавио и шта се догодило када сте га отказали. Три таква реда покривају скоро сваки извештај који сам видео.
Власништво одређује исправно решење, а погрешно решење обично претвара један захтев у три:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Захтев који се враћа у истом покушају је другачији сигнал од оног који се враћа при следећем покушају. Први обично значи да је веза рестартована испод вас; други обично значи да се поново траже сачувани акредитиви. Забележите који имате пре него што дотакнете привезак кључева, јер та два скоро да немају ништа заједничко.
Откријте колико ствари покреће тунел
Четири механизма могу да покрену исти VPN на Mac-у: радња на траци менија, ставка за пријаву, правило On Demand и скрипта или агент. Када се две од њих активирају, друго покретање може да стигне док прво још чека аутентификацију, што ствара дупли прозор и никакав напредак. Прво наведите шта је конфигурисано: scutil --nc list исписује VPN услуге које познају Системске поставке, са њиховим тренутним статусом. Клијенти који достављају сопствено мрежно проширење држе профиле унутар апликације и можда се тамо неће појавити, зато проверите и сопствену листу веза клијента.
Затим потражите конкурентске покретаче. scutil --nc show "Work VPN" исписује речник конфигурације уграђене услуге, укључујући правила On Demand; правило које се поново повезује при свакој промени интерфејса рестартоваће тунел – и поново отворити захтев за аутентификацију – сваки пут када се Wi-Fi помери или екран пробуди мрежни стек. Проверите ставке за пријаву у Системске поставке > Опште > Ставке за пријаву и наведите агенте по кориснику помоћу ls ~/Library/LaunchAgents. Оставите на миру све што припада безбедносном стеку којим управља MDM; његово уклањање се обично враћа при следећој провери.
Да видите шта заиста ради током покушаја: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Два клијентска помоћника тамо где очекујете један много чешће објашњавају „зашто сам добио два захтева“ него било који проблем са акредитивима.
Поправите приступ привеску кључева без његовог ресетовања
Захтев долази из листе контроле приступа сачуване ставке, не из VPN протокола. Свака ставка бележи које апликације могу да је читају без питања. После ажурирања клијента, помоћник који пита може да носи друго име или потпис, док ставка још наводи стари, па macOS поново пита при свакој вези. Одобравање новог помоћника само за ту једну ставку је цело решење; одобравање сваке апликације није.
Можете да потврдите да је ACL узрок без додиривања VPN-а: security find-generic-password -s "service-name" -g чита исту ставку из терминала. Ако и та команда изазове захтев, дијалог припада привеску кључева, а тунел је само покретач. Apple упутства о три дугмета – Дозволи једном, Дозволи увек, Одбиј – вреде једно читање, јер управо Одбиј чини да се захтев одмах врати, а не при следећем покушају.
Ако сте одобрили погрешан помоћник, отворите ставку у Keychain Access, пређите на Access Control и уклоните тај запис; то је враћање. Брисање привеска кључева за пријаву, или покретање алата за поправку који га поново гради, такође одбацује неповезане лозинке и много је већа промена од проблема.
Задржите кораке пријаве и политике у токовима који их поседују
Пријава преко прегледача или MFA изазов припадају порталу. Ако ваша организација нуди задржавање сесије или аутентификацију засновану на сертификатима, користите је, јер је то подржани начин да се ређе аутентификујете. Уношење фиксног кода у клијент, или чување лозинке у скрипти да се захтев никада не појави, замењује интерактивни фактор статичном тајном и не успева следећи пут када се политика промени.
Обавештења организације су једина категорија коју не треба потискивати. Она обично спроводе проверу стања или потврду прихватљивог коришћења, а њихово скривање може да изведе уређај из усаглашености чак и када тунел ради. Дијалози грешака су друга категорија: сачувајте текст прве грешке, јер је други дијалог често само исти неуспех пријављен после поновног покушаја.
Проверите једним покушајем, затим после поновног покретања
Када су дупли покретачи уклоњени и запис у привеску кључева поправљен, обавите један покушај: затворите сваку инстанцу клијента, укључујући помоћника на траци менија, повежите се једном и пребројте прозоре. Желите одобрење привеска кључева, ако је ставка поново изграђена, и један корак аутентификације. Ништа више. scutil --nc status "Work VPN" треба да пријави Connected за уграђену услугу.
Затим једном поново покрените и поновите. Захтев који се враћа само после поновног покретања указује на ставку за пријаву или правило On Demand, не на акредитиве; онај који се враћа унутар сесије указује на ACL или на други покретач. Ако се и даље понавља после оба пролаза, корисно што можете дати администратору је табела са три реда из првог покушаја – власник, тачан текст, фаза – а не снимак екрана дијалога.
Циљ је мање захтева, а не тихи. Веза која скрива кораке ауторизације је веза коју више не можете да ревидирате, а следећа ротација сертификата ће вас затећи без идеје која компонента отказује.