Beheerde Mac-VPN-profiel wil nie uitvee nie? Kontroleer hierdie vyf stappe
Voordat jy ’n beheerde Mac-VPN-profiel uitvee, bevestig wie dit besit, wat die nutsvrag afdwing en waarom verwydering geblokkeer word, met vyf opeenvolgende kontroles.
Jou Mac hou ’n VPN-profiel wat weier om uit te vee, of dit vee uit en kom ná ’n herbegin terug. Dit is gewoonlik ’n bestuursvraag, nie ’n beskadigde kliënt nie. Die kontroles hieronder beweeg van eienaarskap na nutsvrag na herverbindingsreëls, en elkeen kan jou stop voordat jy ’n middag in die verkeerde paneel deurbring. Werk hulle in volgorde; die stap waar die antwoord verander, is waar jou deel eindig.
Bevestig dat die profiel bestuur word, nie net gestoor nie
Maak Stelselinstellings oop en soek na Profiele of Toestelbestuur. Afhangende van die macOS-weergawe sit die lys onder Privaatheid en Sekuriteit (Profiele) of Algemeen (Toestelbestuur). ’n Profiel wat ’n organisasienaam, ’n kort beskrywing en geen minusknoppie wys nie, is deur die organisasie geïnstalleer eerder as deur jou bygevoeg.
Twee terminaalkontroles besleg eienaarskap vinnig. Die eerste rapporteer inskrywing, die tweede lys toestelprofiele:
sudo profiles status -type enrollment
sudo profiles -PAs inskrywing ja sê en die profielys is leeg, moenie aflei dat niks geïnstalleer is nie. Op bestuurde Macs bly sommige MDM-afgelewerde nutsvragte vir die profiles-gereedskap versteek terwyl hulle aktief bly. Die Toestelbestuur-paneel is die gesaghebbende aansig van wat die organisasie gestoot het, en ’n leë opdragreëllys op ’n ingeskrewe Mac is ’n teenstrydigheid wat jy nie deur te raai moet oplos nie.
Lees die nutsvrag, nie die vertoonnaam nie
’n VPN-profiel is ’n houer, en die sigbare naam sê min oor wat binne-in is. Een nutsvrag kan die IKEv2-bedieneradres, die afgeleë identifiseerder, die verifikasiemetode en ’n sertifikaat met sy eie UUID dra. ’n Tweede nutsvrag in dieselfde profiel kan die identiteitsertifikaat verskaf wat die tonnel nodig het, en daarom kan ’n sertifikaat wat in Keychain ontbreek, steeds deur dieselfde profiel aankom.
Stort die nutsvragte uit en lees die sleutels wat saak maak:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Teken die nutsvrag-UUID’s aan voordat jy enigiets verander. Hulle is die identifiseerders wat ’n administrateur nodig het om die presiese objek te vind, en hulle vertel jou ook of die tonnel en die sertifikaat uit dieselfde bron of uit twee verskillende ontplooiings kom.
Kyk wat die tonnel terugbring
As die tonnel vanself weer begin, bevat die profiel byna seker ’n On Demand-reël. ’n Reël wat enige koppelvlak met die Connect-aksie pas, begin die tonnel wanneer Wi-Fi koppel, wanneer die Mac uit die slaap wakker word, of wanneer ’n DNS-toets misluk. Die kliënt bied nie ’n skakelaar wat die nutsvrag oorheers nie.
Die dienslys en die per-diens-konfigurasie kom van scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Soek in die show-uitset na OnDemandRules en lees die Action-waarde van elke inskrywing. Connect bring die tonnel op, Disconnect skeur dit af, en Ignore laat die huidige toestand staan. ’n Eerste reël wat alles met Connect pas, is die gewone rede waarom ’n tonnel nie af bly nadat jy dit ontkoppel nie.
As die verbinding in scutil --nc list ontbreek, is dit nie as ’n stelsel-VPN-diens geïnstalleer nie. Dit dui op ’n netwerkuitbreiding wat deur ’n kliëntprogram besit word, waar die profiel dalk net die programkonfigurasie oorhandig en die program self besluit wanneer om te koppel.
Besluit of verwydering joune is om te doen
Twee meganismes blokkeer verwydering. Die nutsvrag kan PayloadRemovalDisallowed stel, wat die profiel in die koppelvlak nie-verwyderbaar maak, en die Mac kan toesig hê sodat die verwydering van die bestuursprofiel botweg geweier word. Nie een is ’n fout nie, en om onverwante sertifikate of die bestuursprofiel te verwyder om die saak af te dwing, laat jou met ’n veel groter probleem as die een waarmee jy begin het.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Vir ’n werks-Mac is die administrateur se ondersteunings- of afsluitingsroete die regte een. Neem die profielidentifiseerder saam. ’n Kaartjie wat net “die VPN-profiel” sê, is nie genoeg vir iemand om die objek te vind wat jy bedoel nie.
Versamel bewyse voordat jy om hulp vra
Skryf vyf dinge neer: die profielidentifiseerder, die nutsvrag-UUID’s, die macOS-weergawe en -bou vanaf sw_vers, die VPN-subtipe, en die presiese foutteks met ’n tydstempel. Voeg by of die tonnel vol of gesplit is en of dit by verbindingstyd of by eerste toegang tot ’n interne hulpbron misluk, want daardie twee mislukkings het verskillende eienaars.
Vir ’n netwerkuitbreidingsmislukking is een nou lognavraag gewoonlik genoeg:
log show --last 5m --predicate 'process == "nesessionmanager"'Vang die reëls rondom die poging eerder as die hele venster, en redigeer bedienername en sertifikaatonderwerpe voordat jy die resultaat enige plek plaas. Apple se ontplooiingsgids verduidelik waarvoor bestuurde VPN-nutsvragte en On Demand-reëls bedoel is, en dit is ’n beter argument as ’n skermkiekie: VPN-oorsig.
Wanneer al vyf kontroles gedoen is, is presies een van drie dinge waar. Die profiel is nie joune om te verwyder nie, die nutsvrag herverbind die tonnel per ontwerp, of die kliënt hou ’n konfigurasie wat die profiel nooit beheer het nie. Neem die identifiseerders en die tydlyn na wie ook al die inskrywing besit; dit is ’n kaartjie waarop iemand kan reageer. Weer op delete druk is nie.