Kwa nini VPN yako ya Mac inaomba ufikiaji wa Keychain kila wakati
Tambua ni sehemu gani inayozalisha kila kidokezo cha VPN kwenye Mac, zuia majaribio ya muunganisho yanayorudiwa, na urekebishe ufikiaji wa Keychain bila kuweka upya keychain yote.
Mbofyo mmoja kwenye Connect unapaswa kutoa dirisha moja la kuingia. Kwenye Mac mara nyingi hutoa matatu, na mara chache hushiriki mmiliki mmoja: keychain inamiliki maombi ya vyeti vya ndani, lango la VPN linamiliki uthibitishaji, na mteja anamiliki arifa zake mwenyewe. Badala ya kutafuta swichi inayonyamazisha kila kitu, chukulia kila dirisha kama hitilafu tofauti na suluhisho lake. Mwongozo hapa chini unapitia jaribio moja la muunganisho lililokusudiwa na kuisha na ukaguzi unaoweza kurudia.
Taja mmiliki wa kila kidirisha kabla ya kubadilisha mpangilio
Hatua ya kwanza ni uhasibu, sio usanidi. Fanya jaribio moja la muunganisho na, kwa kila dirisha linalotokea, andika sehemu nne: jina la programu linaloonekana kwenye kidirisha, maandishi halisi bila kitu chochote cha siri, awamu ilipoonekana, na kilichotokea ulipoghairi. Mistari mitatu kama hiyo inashughulikia karibu ripoti yote niliyoiangalia.
Umiliki huamua marekebisho sahihi, na marekebisho yasiyofaa ndiyo kawaida yanayogeuza ombi moja kuwa matatu:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Ombi linalorudi ndani ya jaribio hilo hilo ni ishara tofauti na lile linalorudi kwenye jaribio linalofuata. La kwanza kwa kawaida humaanisha muunganisho ulianzishwa upya chini yako; la pili kwa kawaida humaanisha vyeti vilivyohifadhiwa vinaombwa tena. Andika ni lipi unalo kabla ya kugusa keychain, kwa sababu haya mawili karibu hayana kitu cha kufanana.
Tambua ni vitu vingapi vinavyoanzisha handaki
Mifumo minne inaweza kuanzisha VPN hiyo hiyo kwenye Mac: kitendo cha upau wa menyu, kipengee cha kuingia, kanuni ya On Demand, na script au wakala. Wakati viwili kati yao vinawaka, mwanzo wa pili unaweza kufika wakati wa kwanza bado unasubiri uthibitishaji, jambo ambalo hutoa dirisha la nakala na hakuna maendeleo. Kwanza orodhesha kile kilichosanidiwa: scutil --nc list huchapisha huduma za VPN zinazojulikana na Mipangilio ya Mfumo, pamoja na hali zao za sasa. Wateja wanaokuja na kiendelezi chao cha mtandao huweka wasifu ndani ya programu na huenda wasionekane hapo, kwa hiyo angalia pia orodha ya miunganisho ya mteja mwenyewe.
Kisha tafuta vianzishaji vinavyoshindana. scutil --nc show "Work VPN" huchapisha kamusi ya usanidi wa huduma iliyojengwa ndani, ikiwa ni pamoja na kanuni za On Demand; kanuni inayounganisha tena kila mabadiliko ya kiolesura itaanzisha upya handaki — na itafungua tena ombi la uthibitishaji — kila wakati Wi-Fi inapohama au skrini inapoamsha mrundikano wa mtandao. Angalia vipengee vya kuingia chini ya Mipangilio ya Mfumo > Jumla > Vipengee vya Kuingia, na orodhesha mawakala kwa kila mtumiaji kwa ls ~/Library/LaunchAgents. Acha kitu chochote kinachomilikiwa na mrundikano wa usalama unaosimamiwa na MDM; kuondolewa kwake kwa kawaida hukurudishwa kwenye ukaguzi unaofuata.
Ili kuona kinachoendesha kweli wakati wa jaribio: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Wasaidizi wawili wa mteja mahali unapotarajia mmoja hueleza "kwa nini nilipata maombi mawili" mara nyingi zaidi kuliko tatizo lolote la vyeti.
Rekebisha ufikiaji wa keychain bila kuweka upya keychain
Ombi linatoka kwenye orodha ya udhibiti wa ufikiaji ya kipengee kilichohifadhiwa, sio kutoka itifaki ya VPN. Kila kipengee hurekodi ni programu zipi zinazoweza kukisoma bila kuuliza. Baada ya sasisho la mteja, msaidizi anayeuliza anaweza kuwa na jina au sahihi tofauti wakati kipengee bado kinaorodhesha cha zamani, kwa hiyo macOS huuliza tena kwenye kila muunganisho. Kuidhinisha msaidizi mpya kwa kipengee hicho kimoja ndio marekebisho yote; kuidhinisha kila programu sivyo.
Unaweza kuthibitisha kwamba ACL ndiyo sababu bila kugusa VPN: security find-generic-password -s "service-name" -g husoma kipengee hicho hicho kutoka terminal. Ikiwa amri hiyo pia inazua ombi, kidirisha ni cha keychain na handaki ni kichocheo tu. Mwongozo wa Apple kuhusu vitufe vitatu — Ruhusu Mara Moja, Ruhusu Kila Wakati, Kataa — unastahili kusomwa mara moja, kwa sababu Kataa ndicho kinachofanya ombi lirejee mara moja badala ya jaribio linalofuata.
Ikiwa uliidhinisha msaidizi asiyefaa, fungua kipengee katika Keychain Access, hamia Access Control na uondoe kiingilio hicho; hiyo ndiyo kurudi nyuma. Kufuta keychain ya kuingia, au kuendesha zana ya ukarabati inayoiunda upya, pia hutupa nenosiri zisizohusiana na ni mabadiliko makubwa zaidi kuliko tatizo.
Weka hatua za kuingia na sera katika mtiririko unaozimiliki
Kuingia kwa kivinjari au changamoto ya MFA ni mali ya lango. Ikiwa shirika lako linatoa uthabiti wa kipindi au uthibitishaji wa msingi wa cheti, tumia hiyo, kwa sababu ndiyo njia inayotumika ya kuthibitisha mara chache zaidi. Kuandika msimbo usiobadilika kwenye mteja, au kuhifadhi nenosiri katika script ili ombi lisitokee kamwe, hubadilisha kipengele shirikishi na siri tuli na hushindwa mara ijayo sera inapozunguka.
Arifa za shirika ndio kundi pekee usilopaswa kukandamiza. Kwa kawaida hulazimisha ukaguzi wa mkao au uthibitisho wa matumizi yanayokubalika, na kuzificha kunaweza kuondoa kifaa kwenye uzingatiaji hata wakati handaki linafanya kazi. Vidirisha vya makosa ni kundi lingine: hifadhi maandishi ya kosa la kwanza, kwa sababu kidirisha cha pili mara nyingi ni kushindwa huko huko kunakoripotiwa baada ya jaribio jipya.
Thibitisha kwa jaribio moja, kisha baada ya kuwasha upya
Baada ya vianzishaji vya nakala kuondolewa na kiingilio cha keychain kurekebishwa, fanya jaribio moja tu: funga kila nakala ya mteja ikiwa ni pamoja na msaidizi wa upau wa menyu, unganisha mara moja, na uhesabu madirisha. Unataka idhini ya keychain, ikiwa kipengee kilijengwa upya, na hatua moja ya uthibitishaji. Hakuna zaidi. scutil --nc status "Work VPN" inapaswa kuripoti Connected kwa huduma iliyojengwa ndani.
Kisha washa upya mara moja na urudie. Ombi linalorudi tu baada ya kuwasha upya linaelekeza kwenye kipengee cha kuingia au kanuni ya On Demand, sio vyeti; linalorudi ndani ya kipindi linaelekeza kwenye ACL au kianzishaji cha pili. Ikiwa bado linajirudia baada ya mizunguko yote miwili, kitu muhimu cha kumpa msimamizi wako ni jedwali la mistari mitatu kutoka jaribio la kwanza — mmiliki, maandishi halisi, awamu — sio picha ya skrini ya kidirisha.
Lengo ni maombi machache, sio maombi ya kimya. Muunganisho unaoficha hatua zake za uidhinishaji ni muunganisho ambao hauwezi tena kuukagua, na mzunguko ujao wa vyeti utakukuta bila kujua ni sehemu gani inashindwa.