Hoe om ’n VPN-konfigurasie op ’n Mac te verwyder en wat agterbly

Om ’n VPN op macOS te verwyder lyk soos een aksie en is eintlik minstens vier. Die knoppie in Stelselinstellings verwyder ’n netwerkdiens uit die stelsel se konfigurasiebewaarplek. Dit verwyder nie die kliëntprogram, die netwerkuitbreiding wat daardie program geïnstalleer het, die geloofsbrief in jou sleutelring, of ’n profiel wat deur toestelbestuur gestuur is nie. Om te weet watter objek elke simptoom besit, is wat verhoed dat ’n verwyderde VPN stilweg terugkom.

Wat die knoppie Verwyder konfigurasie werklik skrap

Elke VPN wat jy byvoeg, word ’n netwerkdiens, dieselfde soort objek soos Wi-Fi of Thunderbolt-brug. macOS hou almal in /Library/Preferences/SystemConfiguration/preferences.plist, elkeen met ’n diens-ID, ’n vertoonnaam en ’n konfigurasiewoordeboek wat die tonneltipe, die bedieneradres en hoe die tonnel begin, beskryf.

Wanneer jy Stelselinstellings, VPN oopmaak, op die inligtingknoppie langs ’n diens klik, Verwyder konfigurasie kies en bevestig, stop macOS die tonnel, verwyder daardie diensobjek en herskryf die bewaarplek. Die afbreek is volledig vir wat die stelsel besit: die diens is uit die lys weg en niks begin dit by aanmelding nie.

Wat die knoppie nie kan bereik nie, is alles wat deur ’n ander substelsel besit word. Die programpakket woon in /Applications. ’n NetworkExtension-kliënt loop as ’n stelseluitbreiding wat apart van sy konfigurasie geregistreer is. Geloofsbriewe is sleutelringitems met die toegangsbeheer van watter sleutelring dit ook al hou. ’n Konfigurasieprofiel word deur die profielstelsel besit. Verwyder die diens, en al vier bly presies waar hulle was.

Maak ’n lys van wat die Mac nog dink geïnstalleer is

Neem eers inventaris voordat jy iets verwyder. Drie opdragte dek die drie lae wat dieselfde sigbare faling veroorsaak:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list is die gesaghebbende siening van VPN-konfigurasies, met verbindingstatus, diensnaam en diens-ID. Dit wys dikwels inskrywings wat nooit in die Instellings-lys verskyn nie: oorblywende dienste van ’n kliënt wat jy maande gelede gedeïnstalleer het, en vraaggestuurde konfigurasies wat stilweg begin. networksetup -listallnetworkservices wys die netwerkdienste volgens die name wat die opdragreël-gereedskap verwag, wat is wat jy nodig het om op naam te verwyder. profiles -P lys geïnstalleerde konfigurasieprofiele; op ’n bestuurde Mac is die VPN dalk nie ’n diens wat jy bygevoeg het nie, maar ’n loonvrag binne een van daardie profiele.

Lees die lyste saam in plaas daarvan om die eerste een te vertrou. ’n Diens in scutil maar nie in Instellings nie, beteken gewoonlik dat ’n derdeparty-kliënt die tonnel besit en dit in sy eie venster wys. ’n Diens in albei sienings wat in Instellings uitgegrys is, beteken beleid. ’n Naam wat ná verwydering weer verskyn, beteken iets skep dit weer, en daardie iets is die regte teiken.

Verwyder die diens deur sy eienaar

Vir ’n diens wat jy self bygevoeg het, bly op die gedokumenteerde pad: Stelselinstellings, VPN, die inligtingknoppie, Verwyder konfigurasie. Apple dokumenteer daardie vloei, en dit hou die konfigurasiebewaarplek konsekwent. Om preferences.plist met die hand te redigeer terwyl die netwerkstapel loop, is hoe jy eindig met duplikaat- of zombie-dienste wat geen koppelvlak sal verwyder nie.

Vanaf ’n terminaal verwyder jy die diens op naam met networksetup -removenetworkservice "Service Name", en bevestig dan met scutil --nc list. Die opdrag werk op dieselfde dienslys as die koppelvlak, so ’n naam wat nie in networksetup -listallnetworkservices verskyn nie, sal nie deur enige van die twee paaie verwyder word nie. Wanneer ’n kliënt die tonnel besit, gebruik eers daardie kliënt se verwyderings- of deïnstalleerpad, want die kliënt bou die diens weer die volgende keer wat dit begin.

As die VPN van toestelbestuur af kom, is jy nie die eienaar nie. Profiele wat deur MDM geïnstalleer is, kan as nie-verwyderbaar gemerk word, en selfs ’n verwyderbare een kan by die volgende aanmelding weer gestuur word. Bevestig met profiles -P en gebruik dan jou organisasie se uitfaseringproses. Om die loonvrag plaaslik te verwyder, misluk óf dit veroorsaak ’n herinstallering.

Die oorblyfsels wat sonder ’n diens weer verbind

Die gewone “dit het teruggekom”-verslag is nie die diens wat terugkeer nie, maar die uitbreiding wat dit besit. Lys geregistreerde stelseluitbreidings en netwerkuitbreiding-programuitbreidings:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

’n NetworkExtension-kliënt hou sy tonnelverskaffer onder sy eie identifiseerder geïnstalleer, apart van enige konfigurasie. Die uitbreiding kan aktief bly nadat die konfigurasie weg is, en die kliënt se menubalk-agent kan ’n nuwe konfigurasie skep die volgende keer wat dit begin, soms met hergebruik van die naam wat jy pas verwyder het. Kyk na aanmelditems en die verskaffer se helper in /Library/LaunchDaemons voordat jy tot die gevolgtrekking kom dat die verwydering misluk het.

Geloofsbriewe is die tweede oorblyfsel. ’n Gestoor wagwoord of kliëntsertifikaat in die aanmeld-sleutelring word nie saam met die diens verwyder nie, en ’n IPSec-gedeelde geheim woon histories in die Stelsel-sleutelring, wat is waarom verwyder-en-weer-byvoeg soms die wagwoordprompt oorslaan. As die Mac jou beheer verlaat, vind die item op diensnaam in Sleutelringtoegang en herroep die rekening, sertifikaat of eweknie-sleutel wat die gestoorde geloofsbrief verteenwoordig. ’n Gekopieerde konfigurasielêer is ’n lewende geloofsbrief selfs ná plaaslike verwydering.

Verifieer verwydering, en lees ’n terugkerende profiel korrek

Verwydering is klaar wanneer die diens uit albei sienings weg is en weg bly ná ’n herbegin. Kyk na scutil --nc list vir die diens-ID, bevestig dat naamoplossing die oplosser gebruik wat jy verwag met scutil --dns, en herbegin dan een keer, want vraaggestuurde reëls en aanmeldagente is die twee dinge wat hulself net by ’n vars opstart wys.

As dit steeds daar is, moenie meer objekte verwyder nie. Werk uit watter laag dit weer geskep het: ’n MDM-profiel stuur die diens weer, ’n kliëntagent bou dit weer, of die diens is nooit verwyder nie omdat die naam nie ooreengestem het nie. Daardie antwoord bepaal of jy die verskaffer se deïnstalleerder, jou IT-span of nog ’n rit deur dieselfde verwyderingsdialoog nodig het. Apple se verwyderingsgids dek die ondersteunde pad vir dienste wat jy bygevoeg het; die oorblyfsels is die deel wat jy self moet nagaan: verwyder ’n VPN-konfigurasie.