Кіраваны профіль VPN на Mac не выдаляецца? Праверце гэтыя пяць крокаў
Перш чым выдаліць кіраваны профіль VPN на Mac, высветліце, хто ім валодае, што прадпісвае карысная нагрузка і чаму выдаленне заблакавана, з дапамогай пяці паслядоўных праверак.
Ваш Mac трымае профіль VPN, які адмаўляецца выдаляцца, або выдаляецца і вяртаецца пасля перазапуску. Звычайна гэта пытанне кіравання, а не пашкоджаны кліент. Праверкі ніжэй ідуць ад уласнасці да карыснай нагрузкі і да правілаў перападлучэння, і кожная можа спыніць вас, перш чым вы выдаткаваць палову дня не ў той панэлі. Выконвайце іх па парадку; крок, на якім адказ змяняецца, — там, дзе канчаецца ваша частка.
Пераканайцеся, што профіль кіраваны, а не проста захаваны
Адкрыйце Сістэмныя налады і знайдзіце «Профілі» або «Кіраванне прыладай». У залежнасці ад версіі macOS спіс знаходзіцца ў «Прыватнасць і бяспека» (Профілі) або «Агульныя» (Кіраванне прыладай). Профіль, які паказвае назву арганізацыі, кароткае апісанне і не мае кнопкі мінус, быў усталяваны арганізацыяй, а не дададзены вамі.
Дзве праверкі ў тэрмінале хутка вызначаюць уласнасць. Першая паведамляе пра рэгістрацыю, другая пералічвае профілі прылады:
sudo profiles status -type enrollment
sudo profiles -PКалі рэгістрацыя адказвае «так», а спіс профіляў пусты, не рабіце выснову, што нічога не ўсталявана. На кіраваных Mac некаторыя нагрузкі, дастаўленыя MDM, застаюцца схаванымі ад інструмента profiles, але працягваюць дзейнічаць. Панэль «Кіраванне прыладай» — гэта аўтарытэтны від таго, што адправіла арганізацыя, а пусты спіс у камандным радку на зарэгістраваным Mac — супярэчнасць, якую не варта вырашаць здагадкамі.
Чытайце карысную нагрузку, а не назву на экране
Профіль VPN — гэта кантэйнер, і бачная назва мала кажа пра тое, што ўнутры. Адна нагрузка можа змяшчаць адрас сервера IKEv2, аддалены ідэнтыфікатар, метад аўтэнтыфікацыі і сертыфікат з уласным UUID. Другая нагрузка ў тым жа профілі можа падаць сертыфікат ідэнтычнасці, патрэбны тунэлю, — таму сертыфікат, які выглядае адсутным у Keychain, можа ўсё ж прыйсці праз той жа профіль.
Выгрузіце нагрузкі і прачытайце ключы, якія маюць значэнне:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Запішыце UUID нагрузкаў, перш чым нешта змяняць. Гэта ідэнтыфікатары, патрэбныя адміністратару, каб знайсці дакладны аб’ект, і яны таксама паказваюць, ці тунэль і сертыфікат паходзяць з адной крыніцы ці з двух розных разгортванняў.
Сачыце за тым, што вяртае тунэль
Калі тунэль перазапускаецца сам, профіль амаль напэўна змяшчае правіла «па патрабаванні». Правіла, якое супадае з любым інтэрфейсам і дзеяннем Connect, запускае тунэль, калі Wi-Fi злучаецца, калі Mac прачынаецца ад сну або калі праверка DNS не ўдаецца. Кліент не прадстаўляе перамыкач, які адмяняе нагрузку.
Спіс службаў і налады кожнай службы бяруцца з scutil:
scutil --nc list
scutil --nc show "Corporate VPN"У вывадзе show знайдзіце OnDemandRules і прачытайце значэнне Action кожнага запісу. Connect узнімае тунэль, Disconnect разбірае яго, а Ignore пакідае бягучы стан без змен. Першае правіла, якое супадае з усім і мае Connect, — звычайная прычына таго, што тунэль не застаецца выключаным пасля адключэння.
Калі злучэння няма ў scutil --nc list, яно не ўсталявана як сістэмная служба VPN. Гэта паказвае на пашырэнне сеткі, якім валодае кліенцкая праграма, дзе профіль можа перадаваць толькі канфігурацыю праграмы, а сама праграма вырашае, калі падключацца.
Вырашыце, ці выдаленне — ваша справа
Два механізмы блакуюць выдаленне. Нагрузка можа ўсталяваць PayloadRemovalDisallowed, што робіць профіль невыдаляльным у інтэрфейсе, а Mac можа быць пад наглядам, так што выдаленне профілю кіравання адмаўляецца наўпрост. Ні тое, ні другое не памылка, а выдаленне старонніх сертыфікатаў або профілю кіравання, каб прымусіць сітуацыю, пакідае вас з куды большай праблемай, чым тая, з якой вы пачалі.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Для працоўнага Mac правільны шлях — зварот у падтрымку або працэдура вываду ў адміністратара. Вазьміце з сабой ідэнтыфікатар профілю. Тыкет, у якім напісана толькі «профіль VPN», не дае нікому знайсці патрэбны аб’ект.
Збярыце доказы, перш чым прасіць дапамогі
Запішыце пяць рэчаў: ідэнтыфікатар профілю, UUID нагрузкаў, версію і зборку macOS з sw_vers, падтып VPN і дакладны тэкст памылкі з пазнакай часу. Дадайце, ці тунэль поўны ці раздзелены і ці падае ён падчас падлучэння або пры першым доступе да ўнутранага рэсурсу, бо ў гэтых двух збояў розныя ўладальнікі.
Для збою пашырэння сеткі звычайна дастаткова аднаго вузкага запыту да журнала:
log show --last 5m --predicate 'process == "nesessionmanager"'Захапіце радкі вакол спробы, а не ўсё акно, і выдаліце назвы сервераў і суб’екты сертыфікатаў, перш чым дзесьці публікаваць вынік. Кіраўніцтва Apple па разгортванні тлумачыць, для чаго прызначаны кіраваныя нагрузкі VPN і правілы «па патрабаванні», і гэта лепшы аргумент, чым здымак экрана: Агляд VPN.
Калі ўсе пяць праверак зроблены, дакладна адно з трох праўдзіва. Профіль не ваш, каб яго выдаляць; нагрузка перападключае тунэль па задуме; або кліент трымае канфігурацыю, якой профіль ніколі не кіраваў. Вазьміце ідэнтыфікатары і храналогію да таго, хто валодае рэгістрацыяй; гэта тыкет, па якім хтосьці можа дзейнічаць. Націскаць «выдаліць» яшчэ раз — не.