Tại sao VPN trên Mac của bạn yêu cầu quyền truy cập Keychain mỗi lần
Xác định thành phần nào tạo ra từng hộp thoại VPN trên Mac, dừng các lần kết nối trùng lặp và sửa quyền truy cập Keychain mà không cần đặt lại toàn bộ chùm chìa khóa.
Một cú nhấp vào Connect đáng lẽ chỉ tạo ra một cửa sổ đăng nhập. Trên Mac, nó thường tạo ra ba, và chúng hiếm khi có cùng chủ sở hữu: chùm chìa khóa sở hữu các lời nhắc thông tin đăng nhập cục bộ, cổng VPN sở hữu việc xác thực, và ứng dụng khách sở hữu các thông báo của chính nó. Thay vì tìm một công tắc làm im lặng mọi thứ, hãy coi mỗi cửa sổ là một khiếm khuyết riêng với cách khắc phục riêng. Hướng dẫn bên dưới đi qua một lần kết nối có chủ đích và kết thúc bằng một bước kiểm tra bạn có thể lặp lại.
Đặt tên chủ sở hữu của từng hộp thoại trước khi thay đổi cài đặt
Bước đầu tiên là ghi chép, không phải cấu hình. Thực hiện một lần kết nối và, với mỗi cửa sổ xuất hiện, ghi lại bốn trường: tên ứng dụng hiển thị trong hộp thoại, văn bản chính xác không có gì bí mật, giai đoạn nó xuất hiện và điều gì đã xảy ra khi bạn hủy nó. Ba dòng như vậy bao quát gần như mọi báo cáo tôi đã xem.
Quyền sở hữu quyết định cách khắc phục đúng, và cách khắc phục sai thường là thứ biến một lời nhắc thành ba:
| Window | Who owns it | Correct fix | What not to do |
|---|---|---|---|
| “wants to use your confidential information stored in…” | The item's access control list in your login keychain | Approve the specific client helper, once, after checking the name | Resetting the login keychain, or granting Always Allow to every application |
| “Sign in to <organization>” or an MFA push | The gateway's identity provider | Use the client's supported session renewal, or re-authenticate | Scripting a fixed password or code into the client |
| “Connection failed”, “Update required”, a policy banner | The client or your organization | Read the first error and fix its cause | Hiding notices by editing a preference file the client rewrites |
Một lời nhắc quay lại trong cùng lần thử là tín hiệu khác với lời nhắc quay lại ở lần thử tiếp theo. Loại đầu thường có nghĩa là kết nối đã được khởi động lại bên dưới bạn; loại sau thường có nghĩa là thông tin đăng nhập đã lưu đang được hỏi lại. Ghi lại bạn đang gặp loại nào trước khi chạm vào chùm chìa khóa, vì hai loại này gần như không có điểm chung.
Tìm hiểu có bao nhiêu thứ đang khởi động đường hầm
Bốn cơ chế có thể khởi động cùng một VPN trên Mac: một hành động trên thanh menu, một mục đăng nhập, một quy tắc On Demand và một script hoặc tác nhân. Khi hai trong số đó kích hoạt, lần khởi động thứ hai có thể đến trong khi lần đầu vẫn đang chờ xác thực, tạo ra một cửa sổ trùng lặp và không có tiến triển. Trước tiên hãy liệt kê những gì đã được cấu hình: scutil --nc list in ra các dịch vụ VPN mà Cài đặt Hệ thống biết, cùng trạng thái hiện tại của chúng. Các ứng dụng khách mang theo tiện ích mở rộng mạng riêng sẽ giữ hồ sơ bên trong ứng dụng và có thể không xuất hiện ở đó, vì vậy hãy kiểm tra cả danh sách kết nối của chính ứng dụng khách.
Sau đó tìm các trình khởi động cạnh tranh. scutil --nc show "Work VPN" in ra từ điển cấu hình của một dịch vụ tích hợp, bao gồm các quy tắc On Demand; một quy tắc kết nối lại mỗi khi giao diện thay đổi sẽ khởi động lại đường hầm — và mở lại lời nhắc xác thực — mỗi khi Wi-Fi di chuyển hoặc màn hình đánh thức ngăn xếp mạng. Kiểm tra các mục đăng nhập trong Cài đặt Hệ thống > Chung > Mục Đăng nhập, và liệt kê tác nhân theo người dùng bằng ls ~/Library/LaunchAgents. Hãy để yên mọi thứ thuộc về ngăn xếp bảo mật do MDM quản lý; việc gỡ bỏ thường bị đẩy lại ở lần kiểm tra tiếp theo.
Để xem thực sự có gì đang chạy trong một lần thử: ps -Ao pid,comm | grep -iE 'vpn|tunnel|extension'. Hai trình trợ giúp của ứng dụng khách ở nơi bạn mong đợi một cái giải thích "tại sao tôi nhận được hai lời nhắc" thường xuyên hơn nhiều so với bất kỳ vấn đề thông tin đăng nhập nào.
Sửa quyền truy cập chùm chìa khóa mà không đặt lại chùm chìa khóa
Lời nhắc đến từ danh sách kiểm soát truy cập của mục đã lưu, không phải từ giao thức VPN. Mỗi mục ghi lại những ứng dụng nào được đọc nó mà không cần hỏi. Sau khi cập nhật ứng dụng khách, trình trợ giúp hỏi có thể mang tên hoặc chữ ký khác trong khi mục vẫn liệt kê cái cũ, nên macOS hỏi lại ở mỗi kết nối. Phê duyệt trình trợ giúp mới cho đúng một mục đó là toàn bộ cách khắc phục; phê duyệt mọi ứng dụng thì không phải.
Bạn có thể xác nhận ACL là nguyên nhân mà không cần chạm vào VPN: security find-generic-password -s "service-name" -g đọc cùng mục đó từ terminal. Nếu lệnh đó cũng làm xuất hiện lời nhắc, hộp thoại thuộc về chùm chìa khóa và đường hầm chỉ là tác nhân kích hoạt. Hướng dẫn của Apple về ba nút — Cho phép một lần, Luôn cho phép, Từ chối — đáng đọc một lần, vì Từ chối chính là thứ khiến lời nhắc quay lại ngay lập tức thay vì ở lần thử tiếp theo.
Nếu bạn đã phê duyệt sai trình trợ giúp, hãy mở mục trong Keychain Access, chuyển sang Access Control và xóa mục đó; đó là cách hoàn tác. Xóa chùm chìa khóa đăng nhập, hoặc chạy một công cụ sửa chữa xây dựng lại nó, cũng vứt bỏ những mật khẩu không liên quan và là thay đổi lớn hơn nhiều so với vấn đề.
Giữ các bước đăng nhập và chính sách trong những luồng sở hữu chúng
Đăng nhập qua trình duyệt hoặc thử thách MFA thuộc về cổng. Nếu tổ chức của bạn cung cấp tính duy trì phiên hoặc xác thực dựa trên chứng chỉ, hãy dùng nó, vì đó là cách được hỗ trợ để xác thực ít thường xuyên hơn. Gõ một mã cố định vào ứng dụng khách, hoặc lưu mật khẩu trong script để lời nhắc không bao giờ xuất hiện, thay thế một yếu tố tương tác bằng một bí mật tĩnh và thất bại ở lần chính sách xoay vòng tiếp theo.
Thông báo của tổ chức là hạng mục duy nhất bạn không nên chặn. Chúng thường thực thi kiểm tra tư thế hoặc xác nhận sử dụng chấp nhận được, và việc ẩn chúng có thể khiến thiết bị không tuân thủ ngay cả khi đường hầm hoạt động. Hộp thoại lỗi là hạng mục còn lại: giữ lại văn bản lỗi đầu tiên, vì hộp thoại thứ hai thường chỉ là cùng một lỗi được báo cáo sau khi thử lại.
Xác minh bằng một lần thử, sau đó sau khi khởi động lại
Sau khi loại bỏ các trình khởi động trùng lặp và sửa mục trong chùm chìa khóa, hãy thực hiện một lần thử duy nhất: thoát mọi phiên bản ứng dụng khách kể cả trình trợ giúp thanh menu, kết nối một lần và đếm số cửa sổ. Bạn muốn có phê duyệt chùm chìa khóa, nếu mục được xây dựng lại, và một bước xác thực. Không hơn. scutil --nc status "Work VPN" sẽ báo cáo Connected cho một dịch vụ tích hợp.
Sau đó khởi động lại một lần và lặp lại. Một lời nhắc chỉ quay lại sau khi khởi động lại chỉ ra mục đăng nhập hoặc quy tắc On Demand, không phải thông tin đăng nhập; loại quay lại trong phiên chỉ ra ACL hoặc trình khởi động thứ hai. Nếu nó vẫn lặp lại sau cả hai lượt, thứ hữu ích để đưa cho quản trị viên của bạn là bảng ba dòng từ lần thử đầu tiên — chủ sở hữu, văn bản chính xác, giai đoạn — chứ không phải ảnh chụp màn hình hộp thoại.
Mục tiêu là ít lời nhắc hơn, không phải im lặng. Một kết nối che giấu các bước ủy quyền của nó là kết nối bạn không thể kiểm toán nữa, và lần luân chuyển chứng chỉ tiếp theo sẽ tìm thấy bạn mà không biết thành phần nào đang hỏng.