Mac VPN'ingiz nega har safar Keychain'ga kirishni so'raydi
Mac'dagi har bir VPN so'rovini qaysi komponent chiqarishini aniqlang, takroriy ulanish urinishlarini to'xtating va butun kalitlar bog'lamini qayta o'rnatmasdan Keychain kirishini tuzating.
Connect tugmasiga bir marta bosish bitta kirish oynasini berishi kerak. Mac'da u ko'pincha uchtasini beradi va ular kamdan-kam bir xil egaga ega: mahalliy hisob ma'lumotlari so'rovlari kalitlar bog'lamiga tegishli, VPN shlyuzi autentifikatsiyaga ega, mijoz esa o'z bildirishnomalariga. Hamma narsani jim qiladigan kalitni izlash o'rniga, har bir oynani o'z tuzatishiga ega alohida nuqson deb qarang. Quyidagi qo'llanma bitta qasddan ulanish urinishidan o'tadi va takrorlashingiz mumkin bo'lgan tekshiruv bilan tugaydi.
Sozlamani o'zgartirishdan oldin har bir muloqot oynasining egasini nomlang
Birinchi qadam konfiguratsiya emas, hisob. Bitta ulanish urinishini qiling va paydo bo'lgan har bir oyna uchun to'rt maydonni yozing: muloqot oynasida ko'rsatilgan ilova nomi, hech qanday sir bo'lmagan aniq matn, u qaysi bosqichda paydo bo'lgani va uni bekor qilganingizda nima bo'lgani. Bunday uchta satr men ko'rgan deyarli har bir hisobotni qamrab oladi.
Egalik to'g'ri tuzatishni belgilaydi va noto'g'ri tuzatish odatda bitta so'rovni uchtaga aylantiradi:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Xuddi shu urinish ichida qaytadigan so'rov keyingi urinishda qaytadiganidan boshqa signal. Birinchisi odatda ulanish sizning ostingizda qayta ishga tushganini bildiradi; ikkinchisi odatda saqlangan hisob ma'lumotlari qayta so'ralayotganini bildiradi. Kalitlar bog'lamiga tegishdan oldin qaysi biri borligini yozib qo'ying, chunki bu ikkisining deyarli umumiy jihati yo'q.
Tunnelni nechta narsa ishga tushirishini aniqlang
Mac'da bir xil VPN'ni to'rt mexanizm ishga tushirishi mumkin: menyu qatoridagi amal, kirish elementi, On Demand qoidasi va skript yoki agent. Ulardan ikkitasi ishga tushganda, ikkinchi ishga tushish birinchisi hali autentifikatsiyani kutayotganda kelishi mumkin, bu esa takroriy oyna va hech qanday taraqqiyot bermaydi. Avval nima sozlanganini sanab chiqing: scutil --nc list Tizim sozlamalari biladigan VPN xizmatlarini joriy holati bilan chop etadi. O'z tarmoq kengaytmasini olib keladigan mijozlar profillarni ilova ichida saqlaydi va u yerda ko'rinmasligi mumkin, shuning uchun mijozning o'z ulanishlar ro'yxatini ham tekshiring.
Keyin raqobatchi ishga tushiruvchilarni qidiring. scutil --nc show "Work VPN" o'rnatilgan xizmatning konfiguratsiya lug'atini On Demand qoidalari bilan birga chop etadi; har qanday interfeys o'zgarganda qayta ulanadigan qoida har safar Wi-Fi ko'chganda yoki displey tarmoq stekini uyg'otganda tunnelni qayta ishga tushiradi — va autentifikatsiya so'rovini qayta ochadi. Kirish elementlarini Tizim sozlamalari > Umumiy > Kirish elementlari ostida tekshiring va foydalanuvchi bo'yicha agentlarni bu bilan sanab chiqing ls ~/Library/LaunchAgents. MDM boshqaradigan xavfsizlik stekiga tegishli hech narsaga tegmang; uni olib tashlash odatda keyingi tekshiruvda qaytariladi.
Urinish davomida aslida nima ishlayotganini ko'rish uchun: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Bittasini kutayotgan joyda ikkita mijoz yordamchisi bo'lishi "nega ikkita so'rov oldim" degan savolni har qanday hisob ma'lumotlari muammosidan ko'ra ko'proq tushuntiradi.
Kalitlar bog'lamini qayta o'rnatmasdan Keychain kirishini tuzating
So'rov VPN protokolidan emas, saqlangan elementning kirishni boshqarish ro'yxatidan keladi. Har bir element qaysi ilovalar uni so'ramasdan o'qiy olishini qayd etadi. Mijoz yangilangandan so'ng so'rayotgan yordamchi boshqa nom yoki imzoga ega bo'lishi mumkin, element esa hali eskisini sanab turadi, shuning uchun macOS har bir ulanishda qayta so'raydi. Yangi yordamchini faqat o'sha bitta element uchun tasdiqlash butun tuzatishdir; har bir ilovani tasdiqlash unday emas.
VPN'ga tegmasdan ACL sabab ekanini tasdiqlashingiz mumkin: security find-generic-password -s "service-name" -g o'sha elementni terminaldan o'qiydi. Agar bu buyruq ham so'rovni chiqarsa, muloqot oynasi kalitlar bog'lamiga tegishli va tunnel faqat qo'zg'atuvchi. Apple'ning uchta tugma haqidagi ko'rsatmasi — Bir marta ruxsat berish, Doim ruxsat berish, Rad etish — bir marta o'qishga arziydi, chunki aynan Rad etish so'rovni keyingi urinishda emas, darhol qaytaradi.
Agar noto'g'ri yordamchini tasdiqlagan bo'lsangiz, elementni Keychain Access'da oching, Access Control bo'limiga o'ting va o'sha yozuvni olib tashlang; bu orqaga qaytarish. Kirish kalitlar bog'lamini o'chirish yoki uni qayta quradigan ta'mirlash vositasini ishga tushirish ham aloqasiz parollarni tashlab yuboradi va muammodan ancha katta o'zgarishdir.
Kirish va siyosat qadamlarini ularga tegishli oqimlarda saqlang
Brauzer orqali kirish yoki MFA chaqiruvi shlyuzga tegishli. Agar tashkilotingiz seans barqarorligini yoki sertifikatga asoslangan autentifikatsiyani taklif qilsa, undan foydalaning, chunki kamroq autentifikatsiya qilishning qo'llab-quvvatlanadigan yo'li shu. Mijozga qat'iy kod yozish yoki so'rov hech qachon chiqmasligi uchun skriptda parol saqlash interaktiv omilni statik sir bilan almashtiradi va siyosat keyingi marta o'zgarganda muvaffaqiyatsiz bo'ladi.
Tashkilot bildirishnomalari siz bostirmasligingiz kerak bo'lgan yagona toifadir. Ular odatda holat tekshiruvini yoki maqbul foydalanishni tasdiqlashni talab qiladi va ularni yashirish tunnel ishlayotganda ham qurilmani muvofiqlikdan chiqarishi mumkin. Xato muloqot oynalari boshqa toifa: birinchi xato matnini saqlang, chunki ikkinchi oyna ko'pincha qayta urinishdan keyin xabar qilingan o'sha muvaffaqiyatsizlikdir.
Bitta urinish bilan, so'ng qayta ishga tushirgandan keyin tekshiring
Takroriy ishga tushiruvchilar olib tashlanib, kalitlar bog'lami yozuvi tuzatilgandan so'ng bitta urinish qiling: menyu qatori yordamchisini qo'shgan holda har bir mijoz nusxasini yoping, bir marta ulanib, oynalarni sanang. Sizga kalitlar bog'lamining tasdig'i, agar element qayta qurilgan bo'lsa, va bitta autentifikatsiya qadami kerak. Undan ortig'i emas. scutil --nc status "Work VPN" o'rnatilgan xizmat uchun Connected xabar berishi kerak.
Keyin bir marta qayta ishga tushiring va takrorlang. Faqat qayta ishga tushirgandan keyin qaytadigan so'rov hisob ma'lumotlariga emas, kirish elementiga yoki On Demand qoidasiga ishora qiladi; seans ichida qaytadigani ACL'ga yoki ikkinchi ishga tushiruvchiga ishora qiladi. Agar ikkala bosqichdan keyin ham takrorlansa, administratoringizga berishga arziydigan foydali narsa birinchi urinishdagi uch qatorli jadvaldir — ega, aniq matn, bosqich — muloqot oynasining skrinshoti emas.
Maqsad kamroq so'rov, jim so'rovlar emas. O'zining ruxsat qadamlarini yashiradigan ulanish endi siz audit qila olmaydigan ulanishdir va keyingi sertifikat aylanishi qaysi komponent muvaffaqiyatsiz bo'layotganini bilmay sizni topadi.