Vilket nyckelringsobjekt håller din VPN-inloggning inaktuell?

Se Macen erbjuda ett gammalt lösenord, se inloggningen misslyckas, och det uppenbara nästa steget blir en fullständig återställning av nyckelringen. Den åtgärden är dyr och träffar oftast fel objekt. Ett inaktuellt lösenord, ett utgånget certifikat och ett låst konto ger alla ett avslag, och bara ett av dem bor i en nyckelringspost som du kan radera. Läs uppmaningen innan du raderar något.

Tre fel, tre olika raderingar

Ett kontolösenord är en hemlighet som klienten skickar till gatewayen, och att radera det tvingar användaren att skriva in ett nytt. En lösenfras för en privat nyckel låser upp en nyckelfil, så att radera lösenfrasposten lämnar nyckeln intakt men gör den oanvändbar tills någon skriver in frasen igen. Ett klientcertifikat har ett giltighetsfönster, och ingen mängd lösenordsradering förnyar det. Det är tre objekt med tre ägare, och klientens feltext namnger vilket som misslyckades.

Jämförelsen är inte akademisk, eftersom att välja fel kostar en supportcykel och lär användaren att åtgärden är slumpmässig. Ett certifikatutgångsfel överlever varje lösenordsåterställning, och en lösenordspost som ständigt dyker upp igen kan tillhöra en annan tjänst än VPN. Koppla felet till objektet först och bestäm sedan om du ska radera, skriva in igen eller förnya.

Återställning av hela nyckelringen tar bort autentiseringsuppgifter för e-post, webbläsare och andra tjänster. Det är en sista utväg med egen återställningskostnad, inte ett felsökningssteg för VPN.

Läs uppmaningen och kontot innan du rör ett objekt

Läs det exakta felet och läs sedan vilket konto klienten använder. Inloggningen på leverantörens webbplats och dess gateway-uppgifter är ofta olika konton, och klienten kanske sparar det ena medan användaren återställer det andra. Kontrollera profilnamnet och användarnamnet som visas i klientinställningarna. Om de inte stämmer med vad användaren tror är det sparade lösenordet inte inaktuellt; det tillhör något annat.

Ett avvisat certifikat rapporterar vanligtvis utgång eller en ej betrodd kedja i stället för ett autentiseringsfel, medan ett låst konto rapporterar ett policy- eller låsmeddelande. Dessa meddelanden kommer från olika lager, vilket gör formuleringen till det snabbaste sättet att skilja dem åt. Kopiera meddelandet till ärendet, eftersom det är det enda beviset som överlever nästa försök.

Hitta objektet som faktiskt äger hemligheten

Börja med klientens egen glömt-lösenord-kontroll när den finns, eftersom det är den stödda vägen och den träffar rätt post. Om du måste öppna Keychain Access, sök efter tjänstenamnet från klientkonfigurationen i stället för ordet VPN, som matchar alldeles för mycket. Granska det valda objektet innan du raderar: kontot, typen och ändringsdatumet bör alla passa in i historien. Ett objekt som senast ändrades för år sedan är förmodligen inte det som klienten just använde.

Frånvaro från en vy bevisar inte att ingenting är sparat. Objekt kan bo i inloggningsnyckelringen, i iCloud-nyckelringen eller inuti en hanterad profil, och varje är en annan behållare med andra åtkomstregler. Kontrollera klientens egen lista och systemlistan innan du drar slutsatsen att hemligheten saknas.

För en hanterad Mac använder du administratörens borttagningsprocess. Radering runt en profils begränsningar lämnar enheten i ett tillstånd som nästa policykontroll ångrar.

Anslut igen en gång och sluta sedan

Efter att ha tagit bort eller uppdaterat objektet, gör ett inloggningsförsök via det stödda flödet. Ett försök svarar på frågan, medan fem försök svarar med en kontolåsning. Om avslaget ändrar formulering fungerade raderingen och det återstående felet ligger i ett annat lager. Om det upprepas identiskt, återställ det du tog bort och gå tillbaka till uppmaningen.

Borttagning av ett lokalt objekt lämnar autentiseringsuppgiften hos tjänsten orörd. När hemligheten kan ha setts av någon annan, behandla det som en rotationsuppgift och använd leverantörens flöde för att ersätta lösenord eller ersätta nyckel, eftersom kopian i nyckelringen var en av flera platser där den fanns. Lokal rensning och fjärråterkallelse är separata operationer med separata ägare.

Jämför vad varje åtgärd kan lova

Att radera en lösenordspost lovar att klienten kommer att fråga efter ett lösenord igen, och inget mer. Att ersätta ett certifikat lovar ett nytt giltighetsfönster, men bara om utfärdartjänsten är nåbar och profilen uppdateras. Att rotera ett lösenord eller en nyckel lovar att den gamla hemligheten slutar fungera, och det är den enda åtgärd som hjälper när exponering är oron. Välj det löfte du behöver och utför sedan den operationen.

Skriv resultatet i ärendet: vilket objekt som raderades, vilka autentiseringsuppgifter som roterades och vilken inloggning som lyckades. Nästa person med samma symptom behöver den mappningen i stället för en berättelse om en återuppbyggd nyckelring. Apples Keychain Access-guide beskriver behållarna och deras åtkomstregler, och det är den delen folk tenderar att gissa.