Mac VPN'iniz neden her seferinde Keychain erişimi istiyor
Mac'teki her VPN isteminin hangi bileşenden geldiğini belirleyin, yinelenen bağlantı denemelerini durdurun ve tüm anahtar zincirini sıfırlamadan Keychain erişimini onarın.
Connect'e bir tıklama bir oturum açma penceresi üretmeli. Mac'te genellikle üç tane üretir ve bunlar nadiren aynı sahibi paylaşır: yerel kimlik bilgisi istemlerinin sahibi anahtar zinciridir, VPN ağ geçidi kimlik doğrulamanın sahibidir ve istemci kendi bildirimlerinin sahibidir. Her şeyi susturan bir anahtar aramak yerine her pencereyi kendi düzeltmesi olan ayrı bir kusur olarak ele alın. Aşağıdaki kılavuz tek bir bilinçli bağlantı denemesinden geçer ve tekrarlayabileceğiniz bir denetimle biter.
Bir ayarı değiştirmeden önce her iletişim penceresinin sahibini adlandırın
İlk adım yapılandırma değil, kayıttır. Tek bir bağlantı denemesi yapın ve görünen her pencere için dört alan yazın: iletişim penceresinde görünen uygulama adı, gizli hiçbir şey içermeyen tam metin, hangi aşamada göründüğü ve iptal ettiğinizde ne olduğu. Böyle üç satır, incelediğim neredeyse her raporu kapsar.
Sahiplik doğru düzeltmeyi belirler ve yanlış düzeltme genellikle bir istemi üçe çeviren şeydir:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Aynı deneme içinde geri gelen istem, sonraki denemede geri gelenden farklı bir sinyaldir. Birincisi genellikle bağlantının altınızda yeniden başladığı anlamına gelir; ikincisi genellikle kayıtlı bir kimlik bilgisinin yeniden istendiği anlamına gelir. Anahtar zincirine dokunmadan önce hangisine sahip olduğunuzu not edin, çünkü bu ikisinin neredeyse hiçbir ortak noktası yoktur.
Tüneli kaç şeyin başlattığını bulun
Mac'te aynı VPN'i dört mekanizma başlatabilir: menü çubuğu eylemi, oturum açma öğesi, On Demand kuralı ve bir betik ya da aracı. İkisi tetiklendiğinde, ikinci başlatma birincisi hâlâ kimlik doğrulamayı beklerken gelebilir; bu da yinelenen bir pencere ve hiç ilerleme olmaması demektir. Önce nelerin yapılandırıldığını listeleyin: scutil --nc list Sistem Ayarları'nın bildiği VPN hizmetlerini güncel durumlarıyla yazdırır. Kendi ağ uzantısını getiren istemciler profilleri uygulama içinde tutar ve orada görünmeyebilir, bu nedenle istemcinin kendi bağlantı listesini de kontrol edin.
Ardından rakip başlatıcıları arayın. scutil --nc show "Work VPN" yerleşik bir hizmetin yapılandırma sözlüğünü On Demand kurallarıyla birlikte yazdırır; her arayüz değişikliğinde yeniden bağlanan bir kural, Wi-Fi her yer değiştirdiğinde veya bir ekran ağ yığınını uyandırdığında tüneli yeniden başlatır — ve kimlik doğrulama istemini yeniden açar. Oturum açma öğelerini Sistem Ayarları > Genel > Oturum Açma Öğeleri altında kontrol edin ve kullanıcı başına aracıları şununla listeleyin ls ~/Library/LaunchAgents. MDM tarafından yönetilen bir güvenlik yığınına ait olan her şeye dokunmayın; kaldırılması genellikle bir sonraki denetimde geri itilir.
Bir deneme sırasında gerçekte neyin çalıştığını görmek için: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Bir tane beklediğiniz yerde iki istemci yardımcısı olması "neden iki istem aldım" sorusunu herhangi bir kimlik bilgisi sorunundan çok daha sık açıklar.
Anahtar zincirini sıfırlamadan Keychain erişimini onarın
İstem, VPN protokolünden değil, kayıtlı öğenin erişim denetim listesinden gelir. Her öğe hangi uygulamaların sormadan okuyabileceğini kaydeder. Bir istemci güncellemesinden sonra soran yardımcı farklı bir ad veya imza taşıyabilir, öğe ise hâlâ eskisini listeler; bu yüzden macOS her bağlantıda yeniden sorar. Yeni yardımcıyı yalnızca o tek öğe için onaylamak düzeltmenin tamamıdır; her uygulamayı onaylamak değildir.
VPN'e dokunmadan sorunun ACL olduğunu doğrulayabilirsiniz: security find-generic-password -s "service-name" -g aynı öğeyi bir terminalden okur. Bu komut da istemi tetiklerse, iletişim penceresi anahtar zincirine aittir ve tünel yalnızca tetikleyicidir. Apple'ın üç düğme hakkındaki yönergeleri — Bir Kez İzin Ver, Her Zaman İzin Ver, Reddet — bir kez okumaya değer, çünkü Reddet istemi bir sonraki deneme yerine hemen geri getiren şeydir.
Yanlış yardımcıyı onayladıysanız öğeyi Anahtar Zinciri Erişimi'nde açın, Erişim Denetimi'ne geçin ve o girdiyi kaldırın; geri alma budur. Oturum açma anahtar zincirini silmek veya onu yeniden oluşturan bir onarım aracını çalıştırmak, ilgisiz parolaları da çöpe atar ve sorundan çok daha büyük bir değişikliktir.
Oturum açma ve ilke adımlarını onlara ait akışlarda tutun
Tarayıcı oturum açma veya MFA meydan okuması ağ geçidine aittir. Kuruluşunuz oturum kalıcılığı veya sertifika tabanlı kimlik doğrulama sunuyorsa onu kullanın, çünkü daha seyrek kimlik doğrulamanın desteklenen yolu budur. İstemciye sabit bir kod yazmak veya istem hiç görünmesin diye bir betikte parola saklamak, etkileşimli bir faktörü statik bir sırla değiştirir ve ilke bir sonraki kez döndüğünde başarısız olur.
Kuruluş bildirimleri bastırmamanız gereken tek kategoridir. Genellikle bir duruş denetimini veya kabul edilebilir kullanım onayını uygularlar ve bunları gizlemek tünel çalışırken bile cihazı uyumluluk dışına çıkarabilir. Hata pencereleri diğer kategoridir: ilk hata metnini saklayın, çünkü ikinci pencere çoğu zaman yeniden denemeden sonra bildirilen aynı başarısızlıktır.
Tek bir denemeyle, sonra yeniden başlatmadan sonra doğrulayın
Yinelenen başlatıcılar kaldırıldıktan ve anahtar zinciri girdisi onarıldıktan sonra tek bir deneme yapın: menü çubuğu yardımcısı dâhil her istemci örneğinden çıkın, bir kez bağlanın ve pencereleri sayın. Öğe yeniden oluşturulduysa anahtar zinciri onayını ve tek bir kimlik doğrulama adımını istiyorsunuz. Daha fazlasını değil. scutil --nc status "Work VPN" yerleşik bir hizmet için Connected bildirmelidir.
Sonra bir kez yeniden başlatın ve tekrarlayın. Yalnızca yeniden başlatmadan sonra geri gelen istem, kimlik bilgilerine değil bir oturum açma öğesine veya On Demand kuralına işaret eder; oturum içinde geri gelen ise ACL'ye veya ikinci bir başlatıcıya işaret eder. İki geçişten sonra hâlâ yineleniyorsa yöneticinize vermeye değer yararlı şey, ilk denemeden üç satırlık tablodur — sahip, tam metin, aşama — iletişim penceresinin ekran görüntüsü değil.
Amaç daha az istem, sessiz istemler değil. Yetkilendirme adımlarını saklayan bir bağlantı artık denetleyemediğiniz bir bağlantıdır ve bir sonraki sertifika dönüşü sizi hangi bileşenin başarısız olduğunu bilmeden yakalayacaktır.