Bakit humihingi ng access sa Keychain ang VPN mo sa Mac tuwing may koneksyon
Alamin kung aling bahagi ang naglalabas ng bawat prompt ng VPN sa Mac, pigilan ang doble-pagtatangkang koneksyon at ayusin ang access sa Keychain nang hindi nire-reset ang buong keychain.
Isang klik sa Connect ay dapat magbigay ng isang window ng pag-sign in. Sa Mac, madalas tatlo ang lumalabas, at bihirang maghati sila ng isang may-ari: pagmamay-ari ng keychain ang mga lokal na prompt ng kredensyal, pagmamay-ari ng gateway ng VPN ang pagpapatunay, at pagmamay-ari ng client ang sarili nitong mga abiso. Sa halip na maghanap ng switch na magpapatahimik sa lahat, ituring ang bawat window na hiwalay na depekto na may sariling pag-aayos. Ang gabay sa ibaba ay dumadaan sa isang sadyang pagtatangkang kumonekta at nagtatapos sa isang pagsusuri na maaari mong ulitin.
Pangalanan ang may-ari ng bawat dialog bago baguhin ang isang setting
Ang unang hakbang ay pagtatala, hindi konfigurasyon. Gumawa ng isang pagtatangkang kumonekta at, para sa bawat window na lumabas, isulat ang apat na field: ang pangalan ng app sa dialog, ang eksaktong teksto na walang anumang lihim, ang yugtong lumabas ito, at ano ang nangyari noong kinansela mo ito. Tatlong ganoong linya ang sumasaklaw sa halos lahat ng ulat na tiningnan ko.
Ang pagmamay-ari ang nagtatakda ng tamang pag-aayos, at ang maling pag-aayos ang kadalasang dahilan kung bakit nagiging tatlo ang isang prompt:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Ang prompt na bumabalik sa parehong pagtatangka ay ibang senyales kaysa sa bumabalik sa susunod na pagtatangka. Ang una ay kadalasang nangangahulugang nag-restart ang koneksyon sa ilalim mo; ang pangalawa ay kadalasang nangangahulugang hinihingi muli ang nakaimbak na kredensyal. Isulat kung alin ang mayroon ka bago mo hawakan ang keychain, dahil halos walang pagkakatulad ang dalawa.
Alamin kung ilang bagay ang nagsisimula ng tunnel
Apat na mekanismo ang makapagsisimula ng parehong VPN sa Mac: isang aksyon sa menu bar, isang item ng login, isang patakaran ng On Demand, at isang script o agent. Kapag dalawa sa kanila ang umandar, maaaring dumating ang ikalawang pagsisimula habang ang una ay naghihintay pa ng pagpapatunay, na lumilikha ng dobleng window at walang pag-unlad. Ilista muna kung ano ang naka-configure: scutil --nc list ipinapakita ang mga serbisyo ng VPN na kilala ng Mga Setting ng System, kasama ang kasalukuyang estado. Ang mga client na may sariling extension ng network ay nag-iimbak ng profile sa loob ng app at maaaring hindi lumitaw doon, kaya tingnan din ang sariling listahan ng koneksyon ng client.
Pagkatapos, maghanap ng mga karagdagang starter. scutil --nc show "Work VPN" ipinapakita ang diksyunaryo ng konfigurasyon ng built-in na serbisyo, kasama ang mga patakaran ng On Demand; ang patakarang muling kumokonekta sa anumang pagbabago ng interface ay muling magsisimula ng tunnel — at muling magbubukas ng prompt ng pagpapatunay — tuwing gumagalaw ang Wi-Fi o ginigising ng display ang stack ng network. Tingnan ang mga item ng login sa ilalim ng Mga Setting ng System > Pangkalahatan > Mga Item ng Login, at ilista ang mga agent sa bawat user gamit ang ls ~/Library/LaunchAgents. Iwanan ang anumang pagmamay-ari ng stack ng seguridad na pinamamahalaan ng MDM; ang pag-alis nito ay kadalasang itinatulak pabalik sa susunod na check-in.
Para makita kung ano talaga ang tumatakbo sa isang pagtatangka: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Dalawang helper ng client sa lugar kung saan inaasahan mo ang isa ang nagpapaliwanag ng "bakit nakakuha ako ng dalawang prompt" nang mas madalas kaysa sa anumang problema sa kredensyal.
Ayusin ang access sa keychain nang hindi nire-reset ang keychain
Ang prompt ay nagmumula sa listahan ng kontrol sa access ng naka-store na item, hindi sa protocol ng VPN. Itinatala ng bawat item kung aling mga app ang maaaring magbasa nito nang hindi nagtatanong. Pagkatapos ng update ng client, ang helper na nagtatanong ay maaaring may ibang pangalan o lagda habang nakalista pa rin ng item ang luma, kaya muling nagtatanong ang macOS sa bawat koneksyon. Ang pag-apruba ng bagong helper para sa isang item na iyon lang ang buong pag-aayos; ang pag-apruba sa bawat app ay hindi.
Maaari mong kumpirmahin na ang ACL ang dahilan nang hindi hinahawakan ang VPN: security find-generic-password -s "service-name" -g binabasa ang parehong item mula sa terminal. Kung ang utos na iyon ay naglalabas din ng prompt, ang dialog ay pagmamay-ari ng keychain at ang tunnel ay trigger lamang. Ang gabay ng Apple tungkol sa tatlong pindutan — Payagan Minsan, Payagan Palagi, Tanggihan — ay sulit basahin nang isang beses, dahil ang Tanggihan ang dahilan kung bakit agad bumabalik ang prompt sa halip na sa susunod na pagtatangka.
Kung naaprubahan mo ang maling helper, buksan ang item sa Keychain Access, lumipat sa Access Control at alisin ang entry na iyon; iyon ang rollback. Ang pagbura ng login keychain, o pagpapatakbo ng tool sa pag-aayos na muling bubuo nito, ay nagtatapon din ng mga hindi kaugnay na password at mas malaking pagbabago kaysa sa problema.
Panatilihin ang mga hakbang ng pag-sign in at patakaran sa mga daloy na nagmamay-ari sa kanila
Ang pag-sign in sa browser o hamon ng MFA ay pagmamay-ari ng gateway. Kung nag-aalok ang organisasyon mo ng pagtitiyaga ng session o pagpapatunay batay sa sertipiko, gamitin iyon, dahil iyon ang sinusuportahang paraan upang magpatunay nang mas madalang. Ang pag-type ng nakapirming code sa client, o pag-iimbak ng password sa isang script upang hindi lumabas ang prompt, ay pinapalitan ang isang interactive na salik ng static na lihim at nabigo sa susunod na pag-ikot ng patakaran.
Ang mga abiso ng organisasyon ang tanging kategoryang hindi mo dapat pigilan. Karaniwang nagpapatupad sila ng pagsusuri ng postura o pagkilala sa katanggap-tanggap na paggamit, at ang pagtatago sa kanila ay maaaring maglabas ng device sa pagsunod kahit tumatakbo ang tunnel. Ang mga dialog ng error ang iba pang kategorya: itago ang teksto ng unang error, dahil ang pangalawang dialog ay kadalasan ang parehong kabiguan na iniulat pagkatapos ng retry.
I-verify sa isang pagtatangka, pagkatapos ay pagkatapos ng reboot
Kapag naalis na ang mga dobleng starter at naayos na ang entry sa keychain, gumawa ng isang pagtatangka lamang: isara ang bawat instance ng client kasama ang helper ng menu bar, kumonekta nang isang beses, at bilangin ang mga window. Ang gusto mo ay ang pag-apruba ng keychain, kung itinayo muli ang item, at isang hakbang ng pagpapatunay. Wala nang iba. scutil --nc status "Work VPN" dapat mag-ulat ng Connected para sa built-in na serbisyo.
Pagkatapos, mag-reboot nang isang beses at ulitin. Ang prompt na bumabalik lamang pagkatapos ng reboot ay tumutukoy sa item ng login o patakaran ng On Demand, hindi sa kredensyal; ang bumabalik sa loob ng session ay tumutukoy sa ACL o sa ikalawang starter. Kung paulit-ulit pa rin pagkatapos ng dalawang pass, ang kapaki-pakinabang na ibibigay sa administrator mo ay ang tatlong-linyang talahanayan mula sa unang pagtatangka — may-ari, eksaktong teksto, yugto — hindi isang screenshot ng dialog.
Ang layunin ay mas kaunting prompt, hindi mga tahimik. Ang koneksyong nagtatago ng mga hakbang ng awtorisasyon nito ay koneksyong hindi mo na maaaring i-audit, at ang susunod na pag-ikot ng sertipiko ay makikita ka nang hindi alam kung aling bahagi ang nabigo.