ملف تعريف VPN مُدار على Mac لا يُحذف؟ تحقّق من هذه الخطوات الخمس
قبل أن تحذف ملف تعريف VPN مُدار على Mac، تأكّد من مالكه، وما يفرضه الحمل، ولماذا الحذف محجوب، عبر خمسة فحوص مرتّبة.
يبقى على جهاز Mac ملف تعريف VPN يرفض الحذف، أو يُحذف ثم يعود بعد إعادة التشغيل. هذه عادةً مسألة إدارة، لا عميل تالف. تنتقل الفحوص أدناه من الملكية إلى الحمل إلى قواعد إعادة الاتصال، وكل واحد منها قد يوقفك قبل أن تنفق عصرًا كاملًا في اللوحة الخطأ. نفّذها بالترتيب؛ الخطوة التي تتغير عندها الإجابة هي حيث ينتهي دورك.
تأكّد من أن ملف التعريف مُدار لا محفوظ فقط
افتح إعدادات النظام وابحث عن «ملفات التعريف» أو «إدارة الجهاز». بحسب إصدار macOS تقع القائمة تحت «الخصوصية والأمان» (ملفات التعريف) أو «عام» (إدارة الجهاز). ملف التعريف الذي يُظهر اسم مؤسسة ووصفًا قصيرًا ولا يُظهر زر ناقص ثُبّت من المؤسسة لا أُضيف من قبلك.
فحصان في الطرفية يحسمان الملكية بسرعة. الأول يبلّغ عن التسجيل، والثاني يسرد ملفات تعريف الجهاز:
sudo profiles status -type enrollment
sudo profiles -Pإذا قال التسجيل «نعم» وكانت قائمة ملفات التعريف فارغة، فلا تستنتج أن شيئًا غير مثبّت. على أجهزة Mac المُدارة تبقى بعض الأحمال التي تدفعها MDM مخفية عن أداة profiles مع كونها نشطة. لوحة «إدارة الجهاز» هي العرض الموثوق لما دفعته المؤسسة، وسرد سطر أوامر فارغ على جهاز Mac مُسجّل تناقض لا ينبغي أن تحلّه بالتخمين.
اقرأ الحمل لا اسم العرض
ملف تعريف VPN حاوية، أما الاسم الظاهر فلا يقول الكثير عمّا بداخلها. قد يحمل الحمل الواحد عنوان خادم IKEv2 والمعرّف البعيد وطريقة المصادقة وشهادة لها UUID خاص بها. وقد يوفّر حمل ثانٍ في ملف التعريف نفسه شهادة الهوية التي يحتاجها النفق، ولهذا قد تصل شهادة تبدو مفقودة في Keychain عبر ملف التعريف نفسه.
أفرغ الأحمال واقرأ المفاتيح المهمة:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"سجّل معرّفات UUID للأحمال قبل أن تغيّر أي شيء. فهي المعرّفات التي يحتاجها المسؤول لتحديد الكائن بدقة، وتخبرك أيضًا هل يأتي النفق والشهادة من المصدر نفسه أم من نشرين مختلفين.
راقب ما يعيد النفق
إذا أُعيد تشغيل النفق من تلقاء نفسه، فالأرجح أن ملف التعريف يحتوي على قاعدة عند الطلب. القاعدة التي تطابق أي واجهة مع إجراء Connect تشغّل النفق عند اقتران Wi-Fi، أو عند استيقاظ Mac من النوم، أو عند فشل تحقّق DNS. لا يعرض العميل مفتاحًا يتجاوز الحمل.
تأتي قائمة الخدمات وإعداد كل خدمة من scutil:
scutil --nc list
scutil --nc show "Corporate VPN"في مخرجات show، ابحث عن OnDemandRules واقرأ قيمة Action في كل مدخل. Connect يرفع النفق، وDisconnect يهدمه، وIgnore يترك الحالة الحالية كما هي. القاعدة الأولى التي تطابق كل شيء مع Connect هي السبب المعتاد في أن النفق لا يبقى مطفأً بعد فصله.
إذا كانت الاتصال مفقودة من scutil --nc list، فهو غير مثبّت كخدمة VPN نظامية. يشير ذلك إلى إضافة شبكة يملكها تطبيق عميل، حيث قد يسلّم ملف التعريف إعداد التطبيق فقط ويقرّر التطبيق نفسه متى يتصل.
قرّر ما إذا كان الحذف من شأنك
آليتان تمنعان الحذف. يمكن للحمل أن يضبط PayloadRemovalDisallowed، وهو ما يجعل ملف التعريف غير قابل للإزالة في الواجهة، ويمكن أن يكون Mac تحت إشراف بحيث يُرفض حذف ملف تعريف الإدارة رفضًا قاطعًا. لا شيء من ذلك خلل، وحذف شهادات غير ذات صلة أو ملف تعريف الإدارة لفرض الأمر يتركك بمشكلة أكبر بكثير من التي بدأت بها.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
بالنسبة إلى Mac عمل، مسار الدعم أو إنهاء الخدمة لدى المسؤول هو المسار الصحيح. خذ معرّف ملف التعريف معك. تذكرة تقول فقط «ملف تعريف VPN» لا تكفي ليجد أي شخص الكائن الذي تعنيه.
اجمع الأدلة قبل أن تطلب المساعدة
اكتب خمسة أشياء: معرّف ملف التعريف، ومعرّفات UUID للأحمال، وإصدار macOS والبناء من sw_vers، ونوع VPN الفرعي، ونص الفشل الدقيق مع طابع زمني. أضف هل النفق شامل أم منقسم وهل يفشل عند الاتصال أم عند أول وصول إلى مورد داخلي، لأن هذين الفشلين لهما مالكا مختلفان.
لفشل إضافة الشبكة، يكفي عادةً استعلام سجل واحد ضيّق:
log show --last 5m --predicate 'process == "nesessionmanager"'التقط السطور المحيطة بالمحاولة بدل النافذة كاملة، وأخفِ أسماء الخوادم ومواضيع الشهادات قبل نشر النتيجة في أي مكان. يشرح دليل النشر من Apple ما صُممت أحمال VPN المُدارة وقواعد «عند الطلب» لفعله، وهو حجة أفضل من لقطة شاشة: نظرة عامة على VPN.
عندما تكتمل الفحوص الخمسة، يكون أحد ثلاثة أمور صحيحًا بالضبط. ملف التعريف ليس ملكك لتحذفه، أو الحمل يعيد توصيل النفق بحكم التصميم، أو يحتفظ العميل بإعداد لم يتحكم به ملف التعريف قط. خذ المعرّفات والجدول الزمني إلى من يملك التسجيل؛ تلك تذكرة يمكن لشخص أن يتصرف بناءً عليها. الضغط على حذف مرة أخرى ليس كذلك.