Як выдаліць канфігурацыю VPN на Mac і што застаецца

Выдаленне VPN у macOS выглядае як адно дзеянне, а насамрэч іх як мінімум чатыры. Кнопка ў Сістэмных наладах выдаляе сеткавую службу са сховішча сістэмнай канфігурацыі. Яна не выдаляе кліенцкую праграму, сеткавае пашырэнне, якое ўсталявала гэтая праграма, уліковыя даныя ў вашай звязцы ключоў або профіль, адпраўлены кіраваннем прыладамі. Веданне таго, які аб'ект валодае кожным сімптомам, — гэта тое, што не дазваляе выдаленаму VPN ціха вярнуцца.

Што насамрэч выдаляе кнопка «Выдаліць канфігурацыю»

Кожны VPN, які вы дадаяце, становіцца сеткавай службай — такім самым аб'ектам, як Wi-Fi або Thunderbolt Bridge. macOS захоўвае ўсе іх у /Library/Preferences/SystemConfiguration/preferences.plist, кожны з ідэнтыфікатарам службы, адлюстраванай назвай і слоўнікам канфігурацыі, які апісвае тып тунеля, адрас сервера і тое, як тунель запускаецца.

Калі вы адкрываеце Сістэмныя налады, VPN, націскаеце кнопку інфармацыі побач са службай, выбіраеце «Выдаліць канфігурацыю» і пацвярджаеце, macOS спыняе тунель, выдаляе гэты аб'ект службы і перазапісвае сховішча. Разборка завершана для таго, чым валодае сістэма: служба знікла са спісу, і нішто не запускае яе пры ўваходзе.

Што кнопка не можа дасягнуць — гэта ўсё, чым валодае іншая падсістэма. Пакет праграмы знаходзіцца ў /Applications. Кліент NetworkExtension працуе як сістэмнае пашырэнне, зарэгістраванае асобна ад яго канфігурацыі. Уліковыя даныя — гэта элементы звязкі ключоў з кантролем доступу той звязкі, якая іх захоўвае. Канфігурацыйным профілем валодае сістэма профіляў. Выдаліце службу — і ўсе чатыры застануцца менавіта там, дзе былі.

Пералічыце тое, што Mac усё яшчэ лічыць усталяваным

Зрабіце інвентарызацыю, перш чым нешта выдаляць. Тры каманды ахопліваюць тры ўзроўні, якія даюць аднолькавую бачную няспраўнасць:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list — аўтарытэтны прагляд канфігурацый VPN са статусам злучэння, назвай службы і ідэнтыфікатарам службы. Ён часта паказвае запісы, якія ніколі не з'яўляюцца ў спісе Налад: пакінутыя службы ад кліента, які вы выдалілі месяцы таму, і канфігурацыі па запрашэнні, якія запускаюцца ціха. networksetup -listallnetworkservices паказвае сеткавыя службы пад назвамі, якіх чакаюць інструменты каманднага радка, — менавіта гэта патрэбна для выдалення па назве. profiles -P пералічвае ўсталяваныя канфігурацыйныя профілі; на кіраваным Mac VPN можа быць не службай, якую вы дадалі, а карыснай нагрузкай унутры аднаго з гэтых профіляў.

Чытайце спісы разам, а не давярайце першаму. Служба ў scutil, але не ў Наладах, звычайна азначае, што тунелем валодае старонні кліент і паказвае яго ў сваім акне. Служба ў абодвух праглядах, якая ў Наладах паказана шэрай, азначае палітыку. Назва, якая з'яўляецца зноў пасля выдалення, азначае, што нешта стварае яе нанова, і гэта нешта — сапраўдная цэль.

Выдаліце службу праз яе ўладальніка

Для службы, якую вы дадалі самі, трымайцеся дакументаванага шляху: Сістэмныя налады, VPN, кнопка інфармацыі, «Выдаліць канфігурацыю». Apple дакументуе гэты працэс, і ён захоўвае сховішча канфігурацыі ўзгодненым. Ручное рэдагаванне preferences.plist, пакуль сеткавы стек працуе, — гэта шлях да дублікатаў або службаў-зомбі, якія ніводзін інтэрфейс не выдаліць.

З тэрмінала выдаліце службу па назве з дапамогай networksetup -removenetworkservice "Service Name", затым пацвердзіце праз scutil --nc list. Каманда дзейнічае на тым самым спісе службаў, што і інтэрфейс, таму назва, якой няма ў networksetup -listallnetworkservices, не будзе выдалена ніводным шляхам. Калі тунелем валодае кліент, спачатку выкарыстоўвайце шлях выдалення або дэінсталяцыі гэтага кліента, бо кліент перабудуе службу пры наступным запуску.

Калі VPN прыйшоў ад кіравання прыладамі, вы не ўладальнік. Профілі, усталяваныя MDM, могуць быць пазначаны як невыдаляльныя, і нават выдаляльны могуць адправіць зноў пры наступнай праверцы. Пацвердзіце праз profiles -P, затым выкарыстоўвайце працэс вываду вашай арганізацыі. Лакальнае выдаленне нагрузкі альбо не ўдаецца, альбо запускае пераўсталяванне.

Рэшткі, якія зноў падключаюцца без службы

Звычайная скарга «яно вярнулася» — гэта не служба, што вяртаецца, а пашырэнне, якое ёй валодае. Пералічыце зарэгістраваныя сістэмныя пашырэнні і пашырэнні праграм сеткавых пашырэнняў:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

Кліент NetworkExtension трымае свайго пастаўшчыка тунеля ўсталяваным пад сваім уласным ідэнтыфікатарам, асобна ад любой канфігурацыі. Пашырэнне можа заставацца актыўным пасля знікнення канфігурацыі, а агент радка меню кліента можа стварыць новую канфігурацыю пры наступным запуску, часам выкарыстоўваючы назву, якую вы толькі што выдалілі. Праверце элементы ўваходу і дапаможнік пастаўшчыка ў /Library/LaunchDaemons, перш чым заключыць, што выдаленне не ўдалося.

Уліковыя даныя — другая рэштка. Захаваны пароль або кліенцкі сертыфікат у звязцы ключоў уваходу не выдаляецца разам са службай, а агульны сакрэт IPSec гістарычна жыве ў сістэмнай звязцы ключоў, таму выдаленне і паўторнае даданне часам прапускае запыт пароля. Калі Mac выходзіць з-пад вашага кантролю, знайдзіце элемент па назве службы ў Доступе да звязкі ключоў і адклікайце ўліковы запіс, сертыфікат або ключ партнёра, які ўяўляюць захаваныя ўліковыя даныя. Скапіраваны файл канфігурацыі — гэта жывыя ўліковыя даныя нават пасля лакальнага выдалення.

Праверце выдаленне і правільна чытайце профіль, які вяртаецца

Выдаленне завершана, калі служба знікла з абодвух праглядаў і застаецца адсутнай пасля перазапуску. Праверце scutil --nc list на ідэнтыфікатар службы, пераканайцеся, што развязанне імёнаў выкарыстоўвае чаканы рэзалвер, з дапамогай scutil --dns, затым адзін раз перазапусціцеся, бо правілы па запрашэнні і агенты ўваходу — гэта дзве рэчы, якія паказваюць сябе толькі пры свежай загрузцы.

Калі яна ўсё яшчэ там, не выдаляйце больш аб'ектаў. Вызначце, які ўзровень стварыў яе зноў: профіль MDM зноў адпраўляе службу, агент кліента перабудоўвае яе, або служба ніколі не была выдалена, бо назва не супала. Гэты адказ вызначае, ці патрэбны вам дэінсталятар пастаўшчыка, ваша ІТ-каманда або яшчэ адзін праход праз той самы дыялог выдалення. Кіраўніцтва Apple па выдаленні ахоплівае падтрыманы шлях для службаў, якія вы дадалі; рэшткі — гэта частка, якую вы павінны праверыць самі: выдаліць канфігурацыю VPN.