Управляван VPN профил на Mac не се изтрива? Проверете тези пет стъпки
Преди да изтриете управляван VPN профил на Mac, установете кой го притежава, какво налага товарът и защо премахването е блокирано, с пет подредени проверки.
Вашият Mac пази VPN профил, който отказва да се изтрие, или се изтрива и се връща след рестарт. Обикновено това е въпрос на управление, а не повреден клиент. Проверките по-долу минават от собственост към товар и към правила за повторно свързване, и всяка може да ви спре, преди да прекарате следобед в грешния панел. Изпълнете ги по ред; стъпката, на която отговорът се променя, е мястото, където вашата част свършва.
Потвърдете, че профилът се управлява, а не е само запазен
Отворете Системни настройки и потърсете Профили или Управление на устройство. В зависимост от версията на macOS списъкът е под Поверителност и сигурност (Профили) или Общи (Управление на устройство). Профил, който показва име на организация, кратко описание и няма бутон минус, е инсталиран от организацията, а не добавен от вас.
Две проверки в терминала бързо изясняват собствеността. Първата отчита регистрацията, втората изброява профилите на устройството:
sudo profiles status -type enrollment
sudo profiles -PАко регистрацията казва „да“, а списъкът с профили е празен, не заключвайте, че нищо не е инсталирано. На управлявани Mac някои товари, доставени от MDM, остават скрити от инструмента profiles, но продължават да действат. Панелът Управление на устройство е авторитетният изглед на това какво е изпратила организацията, а празен списък от командния ред на регистриран Mac е противоречие, което не бива да решавате с догадки.
Четете товара, а не показваното име
VPN профилът е контейнер и видимото име казва малко за това какво има вътре. Един товар може да носи адреса на IKEv2 сървъра, отдалечения идентификатор, метода за удостоверяване и сертификат със собствен UUID. Втори товар в същия профил може да предостави сертификата за идентичност, който тунелът изисква, и затова сертификат, който изглежда липсва в Keychain, все пак може да дойде през същия профил.
Извадете товарите и прочетете ключовете, които имат значение:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Запишете UUID на товарите, преди да промените нещо. Това са идентификаторите, които администраторът трябва да намери точния обект, и те също ви казват дали тунелът и сертификатът идват от един източник или от две различни разгръщания.
Наблюдавайте какво връща тунелът
Ако тунелът се рестартира сам, профилът почти сигурно съдържа правило при поискване. Правило, което съвпада с всеки интерфейс с действието Connect, стартира тунела, когато Wi-Fi се свърже, когато Mac се събуди от сън или когато DNS проверка се провали. Клиентът не предоставя превключвател, който отменя товара.
Списъкът на услугите и конфигурацията за всяка услуга идват от scutil:
scutil --nc list
scutil --nc show "Corporate VPN"В изхода на show намерете OnDemandRules и прочетете стойността Action на всеки запис. Connect вдига тунела, Disconnect го разкъсва, а Ignore оставя текущото състояние непроменено. Първо правило, което съвпада с всичко с Connect, е обичайната причина тунелът да не остава изключен, след като го прекъснете.
Ако връзката липсва в scutil --nc list, тя не е инсталирана като системна VPN услуга. Това сочи към мрежово разширение, притежавано от клиентско приложение, където профилът може да предава само конфигурацията на приложението, а самото приложение решава кога да се свързва.
Решете дали премахването е ваша работа
Два механизма блокират изтриването. Товарът може да зададе PayloadRemovalDisallowed, което прави профила неизтриваем в интерфейса, а Mac може да е под надзор, така че премахването на профила за управление се отказва направо. Нито едно от двете не е дефект, а изтриването на несвързани сертификати или на профила за управление, за да наложите нещата, ви оставя с много по-голям проблем от този, с който сте започнали.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
За работен Mac правилният път е поддръжката или процедурата по извеждане при администратора. Носете идентификатора на профила със себе си. Заявка, в която пише само „VPN профилът“, не е достатъчна никой да намери обекта, който имате предвид.
Съберете доказателства, преди да поискате помощ
Запишете пет неща: идентификатора на профила, UUID на товарите, версията и билда на macOS от sw_vers, подтипа на VPN и точния текст на грешката с времева марка. Добавете дали тунелът е пълен или разделен и дали се проваля при свързване или при първи достъп до вътрешен ресурс, защото тези две повреди имат различни собственици.
За повреда на мрежово разширение обикновено е достатъчна една тясна заявка към журнала:
log show --last 5m --predicate 'process == "nesessionmanager"'Уловете редовете около опита, а не целия прозорец, и заличавайте имената на сървъри и субектите на сертификати, преди да публикувате резултата някъде. Ръководството на Apple за разгръщане обяснява за какво са предназначени управляваните VPN товари и правилата при поискване, и това е по-добър аргумент от екранна снимка: Преглед на VPN.
Когато и петте проверки са направени, точно едно от три неща е вярно. Профилът не е ваш за премахване, товарът свързва тунела отново по замисъл, или клиентът държи конфигурация, която профилът никога не е управлявал. Занесете идентификаторите и хронологията при този, който притежава регистрацията; това е заявка, по която някой може да действа. Натискането на „изтрий“ отново не е.