El perfil VPN gestionat del Mac no es vol esborrar? Comproveu aquests cinc passos
Abans d’esborrar un perfil VPN gestionat del Mac, confirmeu qui en és el propietari, què imposa la càrrega útil i per què l’eliminació està bloquejada, amb cinc comprovacions ordenades.
El vostre Mac conserva un perfil VPN que es nega a esborrar-se, o bé s’esborra i torna després d’un reinici. Normalment és una qüestió de gestió, no un client corrupte. Les comprovacions següents van de la propietat a la càrrega útil i a les regles de reconnexió, i cadascuna us pot aturar abans no passeu una tarda al panell equivocat. Feu-les en ordre; el pas on canvia la resposta és on acaba la vostra part.
Confirmeu que el perfil està gestionat, no només desat
Obriu Configuració del Sistema i cerqueu Perfils o Gestió de dispositius. Segons la versió de macOS, la llista és a Privadesa i seguretat (Perfils) o a General (Gestió de dispositius). Un perfil que mostra un nom d’organització, una descripció curta i cap botó menys el va instal·lar l’organització, no el vau afegir vosaltres.
Dues comprovacions al terminal resolen la propietat de seguida. La primera informa de la inscripció, la segona llista els perfils del dispositiu:
sudo profiles status -type enrollment
sudo profiles -PSi la inscripció diu que sí i la llista de perfils és buida, no conclogiu que no hi ha res instal·lat. Als Mac gestionats, algunes càrregues útils lliurades per MDM queden ocultes a l’eina profiles tot i continuar actives. El panell Gestió de dispositius és la visió autoritzada del que ha enviat l’organització, i un llistat buit a la línia d’ordres en un Mac inscrit és una contradicció que no hauríeu de resoldre endevinant.
Llegiu la càrrega útil, no el nom visible
Un perfil VPN és un contenidor, i el nom visible diu poc sobre què hi ha a dins. Una càrrega útil pot portar l’adreça del servidor IKEv2, l’identificador remot, el mètode d’autenticació i un certificat amb el seu propi UUID. Una segona càrrega útil al mateix perfil pot aportar el certificat d’identitat que necessita el túnel, i per això un certificat que sembla absent al Keychain pot arribar igualment pel mateix perfil.
Bolqueu les càrregues útils i llegiu les claus que importen:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Anoteu els UUID de les càrregues útils abans de canviar res. Són els identificadors que l’administrador necessita per localitzar l’objecte exacte, i també us diuen si el túnel i el certificat vénen de la mateixa font o de dos desplegaments diferents.
Vigileu què fa tornar el túnel
Si el túnel es reinicia sol, el perfil gairebé segur que conté una regla a demanda. Una regla que coincideix amb qualsevol interfície i l’acció Connect engega el túnel quan el Wi-Fi s’associa, quan el Mac surt del repòs o quan falla una sonda DNS. El client no exposa cap interruptor que anul·li la càrrega útil.
La llista de serveis i la configuració per servei vénen de scutil:
scutil --nc list
scutil --nc show "Corporate VPN"A la sortida de show, trobeu OnDemandRules i llegiu el valor Action de cada entrada. Connect aixeca el túnel, Disconnect el destrossa i Ignore deixa l’estat actual tal com és. Una primera regla que coincideix amb tot i té Connect és la raó habitual per què un túnel no es queda baix després de desconnectar-lo.
Si la connexió no apareix a scutil --nc list, no està instal·lada com a servei VPN del sistema. Això apunta a una extensió de xarxa propietat d’una aplicació client, on el perfil potser només lliura la configuració de l’aplicació i l’aplicació decideix quan connectar-se.
Decidiu si l’eliminació us correspon
Dos mecanismes bloquegen l’esborrat. La càrrega útil pot establir PayloadRemovalDisallowed, que fa el perfil no eliminable a la interfície, i el Mac pot estar supervisat de manera que s’hi refusi del tot eliminar el perfil de gestió. Cap dels dos no és un error, i esborrar certificats no relacionats o el perfil de gestió per forçar la situació us deixa amb un problema molt més gran que el que teníeu al principi.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Per a un Mac de feina, el camí correcte és el suport o la baixa de l’administrador. Emporteu-vos l’identificador del perfil. Un tiquet que només diu «el perfil VPN» no n’hi ha prou perquè ningú trobi l’objecte que voleu dir.
Recolliu proves abans de demanar ajuda
Anoteu cinc coses: l’identificador del perfil, els UUID de les càrregues útils, la versió i la compilació de macOS segons sw_vers, el subtipus de VPN i el text exacte de la fallada amb una marca de temps. Afegiu si el túnel és complet o dividit i si falla en connectar o en el primer accés a un recurs intern, perquè aquestes dues fallades tenen propietaris diferents.
Per a una fallada d’extensió de xarxa, normalment n’hi ha prou amb una consulta de registre estreta:
log show --last 5m --predicate 'process == "nesessionmanager"'Captureu les línies al voltant de l’intent en lloc de la finestra sencera, i redacteu els noms de servidor i els subjectes dels certificats abans de publicar el resultat enlloc. La guia de desplegament d’Apple explica per a què serveixen les càrregues útils VPN gestionades i les regles a demanda, i és un argument millor que una captura de pantalla: Resum de VPN.
Quan les cinc comprovacions estan fetes, exactament una de tres coses és certa. El perfil no és vostre per eliminar-lo, la càrrega útil reconnecta el túnel per disseny, o el client té una configuració que el perfil mai no ha controlat. Porteu els identificadors i la cronologia a qui posseeix la inscripció; això és un tiquet que algú pot atendre. Tornar a prémer esborrar no ho és.