Mac ถามรหัสผ่าน VPN อยู่เรื่อย ๆ: คีย์เชนหรือบัญชี
Mac อาจขอรหัสผ่านคีย์เชนสำหรับเข้าสู่ระบบ รหัสผ่านผู้ดูแลระบบ หรือบัญชี VPN เอง อ่านว่าไดอะล็อกเป็นของใคร แล้วซ่อมที่จัดเก็บให้ถูกที่
คุณปลดล็อก Mac เปิดไคลเอนต์ VPN แล้วมีแผ่นรหัสผ่านเด้งขึ้นมาก่อนที่อุโมงค์จะเริ่มทำงานด้วยซ้ำ คุณพิมพ์รหัสผ่านเกตเวย์ แล้วมันถูกปฏิเสธหรือไม่ก็มีแผ่นเดิมกลับมาอีกสักครู่ จากนั้นมันถามอีกครั้งหลังเครื่องตื่นจากโหมดหลับ หลังออกจากระบบ หรือหลังอัปเดตไคลเอนต์ แผ่นนั้นไม่ค่อยใช่เซิร์ฟเวอร์ VPN ที่ขอข้อมูลรับรอง แต่ปกติเป็น macOS ที่ขออนุญาตอ่าน ปลดล็อก หรือแก้ไขเรกคอร์ดภายในเครื่อง และรหัสผ่านนั้นเป็นของเจ้าของเรกคอร์ด ไม่ใช่ของบัญชี VPN ของคุณ
จับคู่แผ่นคำขอกับตัวตนที่อยู่เบื้องหลัง
คำถามสี่แบบหน้าตาแทบเหมือนกัน และมีเพียงแบบเดียวที่เกี่ยวกับเกตเวย์ ถ้อยคำ กระบวนการที่ขอเข้าถึง และรายการที่ระบุไว้ด้านล่างบอกได้ว่าคุณกำลังเจอแบบไหน
| What the sheet says | Whose password it wants | What it does not do |
|---|---|---|
| Enter the password for the login keychain | The local keychain password, normally your Mac login password | It does not authenticate you to the VPN server |
| An app wants to use confidential information stored in your keychain | Approval for that app to retrieve one item | It does not grant privileges at the gateway |
| macOS wants to make changes, and asks for administrator authorization | An admin account on this Mac, for the named setting | It does not change the VPN account password |
| The client itself asks for a username and password to connect | The remote account, certificate or profile credential | It does not unlock anything local |
ไดอะล็อกเรื่องการเข้าถึงภายในเครื่องไม่ได้พิสูจน์อะไรเกี่ยวกับเซิร์ฟเวอร์ การถูกเกตเวย์ปฏิเสธจะแสดงในไคลเอนต์พร้อมข้อความข้อผิดพลาดของผู้จำหน่าย ไม่ใช่แผ่นของระบบที่เสนอให้ปลดล็อกคีย์เชน ทางกลับกันก็พบได้บ่อยพอ ๆ กัน: การพิมพ์รหัสผ่านเกตเวย์ลงในแผ่นคีย์เชนทำให้เรกคอร์ดยังล็อกอยู่และเพิ่มความพยายามที่ล้มเหลวอีกหนึ่งครั้ง
ไดอะล็อกระบุเจ้าของ ที่จัดเก็บ และการกระทำ
คำขอจากคีย์เชนเกี่ยวกับการดึงข้อมูล ไม่ใช่การยืนยันตัวตนกับสิ่งใดที่อยู่ระยะไกล คำอธิบายของ Apple เกี่ยวกับไดอะล็อกคำขอค่อนข้างแคบ: อนุญาตครั้งเดียว อนุญาตเสมอ และปฏิเสธ ควบคุมว่าแอปนั้นอ่านรายการที่จัดเก็บไว้ได้หรือไม่ ทั้งสามอย่างไม่ได้ให้สิทธิพิเศษที่เกตเวย์หรือเปลี่ยนสิ่งที่เซิร์ฟเวอร์คิดเกี่ยวกับรหัสผ่านของคุณ
เมื่อผู้ขอคือไคลเอนต์ที่เพิ่งอัปเดต การอนุมัติซ้ำเป็นเรื่องที่คาดไว้: บิลด์ใหม่ไม่ตรงกับรายการควบคุมการเข้าถึงของรายการนั้นแล้ว macOS จึงถามอีกครั้ง ให้ตอบอนุญาตครั้งเดียวระหว่างวินิจฉัย อนุญาตเสมอคือการให้สิทธิ์ถาวรกับแอปนั้นและเป็นคำตอบที่ผิดสำหรับโปรเซสช่วยเหลือที่คุณไม่ได้คาดคิด ปฏิเสธและตรวจสอบผู้จำหน่ายหากไบนารีไม่ใช่ไคลเอนต์ที่คุณติดตั้ง
คำขอที่ขออนุญาตผู้ดูแลระบบเป็นอีกประเภทหนึ่ง มันระบุการตั้งค่าระบบหรือที่จัดเก็บที่ได้รับการป้องกันซึ่งกำลังถูกเปลี่ยน และข้อมูลรับรองที่มันต้องการคือบัญชีผู้ดูแลระบบบน Mac เครื่องนี้ ไม่ใช่ทุกรายการคีย์เชนส่วนตัวต้องใช้สิ่งนั้น รายการที่อยู่เบื้องหลังการกำหนดค่าเครือข่ายมักต้องใช้ เพราะการกำหนดค่าเป็นของระบบ ไม่ใช่ของเซสชันการเข้าสู่ระบบของคุณ
รหัสผ่าน VPN ของ Mac อยู่ได้ที่ไหน
คีย์เชนเป็นหนึ่งในที่จัดเก็บที่เป็นไปได้ ไม่ใช่คำจำกัดความของที่จัดเก็บ การกำหนดค่า VPN ในตัวที่สร้างในระบบตั้งค่าเก็บข้อมูลรับรองไว้กับการกำหนดค่าเครือข่าย เป็นการตั้งค่าระบบที่ถูกจัดการ ไคลเอนต์ของบุคคลที่สามมักเก็บรายการไว้ในคีย์เชนสำหรับเข้าสู่ระบบของคุณ: รหัสผ่านทั่วไปที่ผูกกับชื่อบริการ หรือรหัสผ่านอินเทอร์เน็ตที่ผูกกับเซิร์ฟเวอร์ โปรโตคอล และบัญชี แอปใหม่ ๆ จำนวนมากใช้คีย์เชนป้องกันข้อมูลแทน ซึ่งรายการของมันไม่เคยปรากฏในการเข้าถึงคีย์เชน
ผู้คนค้นหาชื่อ VPN ในการเข้าถึงคีย์เชน ไม่พบอะไร แล้วสรุปว่ารหัสผ่านไม่ได้ถูกเก็บไว้ บันทึก TN3137 ของ Apple กล่าวว่ามีการใช้งานคีย์เชนมากกว่าหนึ่งแบบ การไม่มีรายการในลิสต์นั้นเป็นเรื่องปกติ ไม่ใช่หลักฐานว่ารายการเสีย
ประเภทของเรกคอร์ดก็ใช้แทนกันไม่ได้เช่นกัน รหัสผ่านบัญชี วลีรหัสผ่านของคีย์ส่วนตัว ใบรับรองไคลเอนต์ และความลับที่ใช้ร่วมกันของ IPsec ล้มเหลวต่างกันและซ่อมในที่ต่างกัน; การพิมพ์รหัสผ่านที่บันทึกไว้ซ้ำไม่ช่วยอะไรกับใบรับรองที่ถูกปฏิเสธ หาก Mac ลงทะเบียนในการจัดการ โปรไฟล์ก็เป็นอีกเจ้าของหนึ่ง: โปรไฟล์ VPN สามารถพาข้อมูลรับรองและนำกลับมาใช้ใหม่เมื่อรีเฟรช ดังนั้นการลบรายการในเครื่องจึงเป็นเรื่องชั่วคราวจนกว่าผู้ดูแลระบบจะเปลี่ยน
เมื่อรหัสผ่านเข้าสู่ระบบกับรหัสผ่านคีย์เชนแยกจากกัน
คีย์เชนสำหรับเข้าสู่ระบบปกติใช้รหัสผ่านเข้าสู่ระบบ Mac ของคุณ ซึ่งเป็นเหตุผลที่ทั้งสองแยกจากกันได้ ผู้ดูแลระบบที่รีเซ็ตรหัสผ่านของคุณจากบัญชีอื่น กระบวนการกู้คืน หรือการเปลี่ยนแปลงไดเรกทอรี อาจทำให้คีย์เชนยังล็อกอยู่ที่ค่าเก่า แล้ว macOS ก็ขอรหัสผ่านที่คุณไม่ได้เพิ่งตั้ง
ตอนเข้าสู่ระบบคุณอาจเห็นคำเตือนว่าระบบปลดล็อกคีย์เชนไม่ได้ การอัปเดตมันต้องใช้รหัสผ่านเก่า ซึ่งดีถ้าคุณจำได้และไร้ประโยชน์ถ้าจำไม่ได้ การซ่อมอย่างซื่อสัตย์มีสองทาง: การเข้าถึงคีย์เชน แก้ไข เปลี่ยนรหัสผ่านสำหรับคีย์เชน „login“ หรือสร้างคีย์เชนสำหรับเข้าสู่ระบบใหม่พร้อมกรอกข้อมูลรับรองที่จำเป็นใหม่ ทางเลือกที่สองทำลายรายการที่จัดเก็บไว้
อย่ารีเซ็ตคีย์เชนทั้งหมดเพียงเพราะ VPN หนึ่งตัวปฏิเสธข้อมูลรับรองเก่า เพราะนั่นจะลบบัญชีที่ไม่เกี่ยวข้องและยังระบุรายการไม่ได้
คำสั่งเดียวตัดสินคำถามว่าเป็นเรื่องในเครื่องหรือระยะไกล ถามคีย์เชนโดยตรงสำหรับรายการนั้น:
security find-internet-password -s vpn.example.com -a [email protected] -g
security find-generic-password -s "Client Name" -a [email protected] -gใช้เซิร์ฟเวอร์และบัญชีจากการตั้งค่าของไคลเอนต์คุณ หากแผ่นอนุมัติเดิมปรากฏเมื่อคุณถามคีย์เชนเอง คำขอเป็นเรื่องในเครื่องและเซิร์ฟเวอร์เป็นเพียงผู้สังเกต หากไม่มีรายการนั้น ไคลเอนต์ไม่ได้เก็บรหัสผ่านไว้ที่ที่คุณคิด ธง -g พิมพ์ความลับออกทางเทอร์มินัล ดังนั้นหลีกเลี่ยงการแชร์หน้าจอ
อัปเดตเรกคอร์ดที่ไคลเอนต์อ่านจริง
หากบัญชีเปลี่ยนที่เกตเวย์ ให้เปลี่ยนที่นั่นก่อน แล้วอัปเดตเรกคอร์ดที่จัดเก็บไว้ผ่านการตั้งค่าของไคลเอนต์ การแก้ไขรายการคีย์เชนด้วยมือไม่น่าเชื่อถือ: ไคลเอนต์อาจอ่านคู่บริการและบัญชีอื่น และโปรไฟล์ที่ถูกจัดการจะเขียนทับการแก้ไขของคุณ
สำหรับรายการที่สงสัยว่าเก่า ให้จับคู่บริการ บัญชี และโปรโตคอลก่อนลบสิ่งใด:
security delete-generic-password -s "Client Name" -a [email protected]การลบรายการที่ชื่อคล้ายกันจากอีกการเชื่อมต่อเป็นเหตุขัดข้องที่ทำเองบ่อยครั้ง การลบเป็นเพียงในเครื่อง: มัน ไม่ได้เพิกถอนเซสชันที่เกตเวย์ ไม่ปลดผูกใบรับรองอุปกรณ์ และไม่เปลี่ยนรหัสผ่านของบัญชี
ยืนยันว่าการแก้ไขอยู่รอดหลังรีบูต
เชื่อมต่อ ตื่นจากโหมดหลับ ออกจากระบบแล้วเข้าใหม่ จากนั้นรีบูตหนึ่งครั้ง ลำดับที่สะอาดโดยไม่มีแผ่นและสถานะไคลเอนต์ที่ระบุบัญชีที่คาดไว้เป็นหลักฐานเดียวที่นับได้ คำขอกลับมาที่ไหนบอกคุณว่าคุณพลาดชั้นไหน: หลังอัปเดตคือการอนุมัติ หลังเปลี่ยนเครือข่ายคือคำขอของไคลเอนต์เอง หลังรีบูตคือโปรไฟล์ที่นำสถานะกลับมาใช้
ตรวจสอบไคลเอนต์ว่ามีการตั้งค่าจำรหัสผ่านหรือถามเสมอ ก่อนแตะคีย์เชนอีกครั้ง การกำหนดค่าบางแบบ โดยเฉพาะ IKEv2 ที่ยืนยันตัวตนแยกตามผู้ใช้ จะถามทุกครั้งที่เชื่อมต่อตามการออกแบบ การซ่อมคีย์เชนไม่ช่วย
จดรายการที่คุณเปลี่ยน ที่จัดเก็บที่เป็นเจ้าของ และบัญชีที่มันสังกัด เพื่อให้คำขอครั้งต่อไปใช้เวลาไม่กี่วินาที หน้าของ Apple เรื่อง คำขอเข้าถึงคีย์เชน เป็นเอกสารอ้างอิงว่าปุ่มทั้งสามอนุญาตอะไร