Com eliminar una configuració VPN en un Mac i què hi queda

Eliminar una VPN al macOS sembla una sola acció i en realitat són com a mínim quatre. El botó a Configuració del Sistema elimina un servei de xarxa del magatzem de configuració del sistema. No elimina l'aplicació client, l'extensió de xarxa que va instal·lar aquesta aplicació, la credencial que hi ha al vostre clauer ni un perfil enviat per la gestió de dispositius. Saber quin objecte posseeix cada símptoma és el que evita que una VPN eliminada torni en silenci.

Què elimina realment el botó Elimina la configuració

Cada VPN que afegiu es converteix en un servei de xarxa, el mateix tipus d'objecte que Wi-Fi o Thunderbolt Bridge. El macOS els guarda tots a /Library/Preferences/SystemConfiguration/preferences.plist, cadascun amb un identificador de servei, un nom de visualització i un diccionari de configuració que descriu el tipus de túnel, l'adreça del servidor i com s'inicia el túnel.

Quan obriu Configuració del Sistema, VPN, feu clic al botó d'informació al costat d'un servei, trieu Elimina la configuració i confirmeu, el macOS atura el túnel, elimina aquest objecte de servei i reescriu el magatzem. El desmuntatge és complet pel que posseeix el sistema: el servei ha desaparegut de la llista i res no l'inicia en iniciar sessió.

El que el botó no pot abastar és tot el que posseeix un altre subsistema. El paquet de l'aplicació viu a /Applications. Un client de NetworkExtension s'executa com una extensió de sistema registrada per separat de la seva configuració. Les credencials són elements del clauer amb els controls d'accés del clauer que les guarda. Un perfil de configuració és propietat del sistema de perfils. Elimineu el servei i els quatre es queden exactament on eren.

Feu una llista del que el Mac encara creu que està instal·lat

Feu un inventari abans d'eliminar res. Tres ordres cobreixen les tres capes que produeixen la mateixa fallada visible:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list és la vista autoritzada de les configuracions VPN, amb l'estat de connexió, el nom del servei i l'identificador de servei. Sovint mostra entrades que no apareixen mai a la llista de Configuració: serveis sobrants d'un client que vau desinstal·lar fa mesos i configuracions sota demanda que s'inicien en silenci. networksetup -listallnetworkservices mostra els serveis de xarxa amb els noms que esperen les eines de línia d'ordres, que és el que necessiteu per eliminar per nom. profiles -P llista els perfils de configuració instal·lats; en un Mac gestionat, la VPN potser no és un servei que hàgiu afegit, sinó una càrrega útil dins d'un d'aquests perfils.

Llegiu les llistes juntes en lloc de confiar en la primera. Un servei a scutil però no a Configuració normalment vol dir que un client de tercers posseeix el túnel i el presenta a la seva pròpia finestra. Un servei a les dues vistes que a Configuració apareix en gris vol dir política. Un nom que reapareix després de l'eliminació vol dir que alguna cosa el torna a crear, i aquesta cosa és l'objectiu real.

Elimineu el servei a través del seu propietari

Per a un servei que hàgiu afegit vosaltres mateixos, quedeu-vos al camí documentat: Configuració del Sistema, VPN, el botó d'informació, Elimina la configuració. Apple documenta aquest flux i manté el magatzem de configuració coherent. Editar preferences.plist a mà mentre la pila de xarxa s'executa és com acabeu amb serveis duplicats o zombis que cap interfície eliminarà.

Des d'un terminal, elimineu el servei pel nom amb networksetup -removenetworkservice "Service Name" i després confirmeu-ho amb scutil --nc list. L'ordre actua sobre la mateixa llista de serveis que la interfície, així que un nom que no apareix a networksetup -listallnetworkservices no s'eliminarà per cap dels dos camins. Quan un client posseeix el túnel, feu servir primer el camí d'eliminació o desinstal·lació d'aquell client, perquè el client reconstrueix el servei la propera vegada que s'inicia.

Si la VPN ve de la gestió de dispositius, no en sou el propietari. Els perfils instal·lats per MDM es poden marcar com a no eliminables, i fins i tot un d'eliminable es pot tornar a enviar a la propera comprovació. Confirmeu-ho amb profiles -P i després feu servir el procés de baixa de la vostra organització. Eliminar la càrrega localment o falla o provoca una reinstal·lació.

Els romanents que es reconnecten sense un servei

L'informe habitual de «ha tornat» no és el servei que torna sinó l'extensió que el posseeix. Llisteu les extensions de sistema registrades i les extensions d'aplicació d'extensió de xarxa:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

Un client de NetworkExtension manté el seu proveïdor de túnel instal·lat sota el seu propi identificador, separat de qualsevol configuració. L'extensió pot romandre activa després que la configuració desaparegui, i l'agent de la barra de menús del client pot crear una configuració nova la propera vegada que s'inicia, de vegades reutilitzant el nom que acabeu d'eliminar. Reviseu els elements d'inici i l'ajudant del proveïdor a /Library/LaunchDaemons abans de concloure que l'eliminació ha fallat.

Les credencials són el segon romanent. Una contrasenya desada o un certificat de client al clauer d'inici de sessió no s'elimina amb el servei, i un secret compartit d'IPSec viu històricament al clauer del sistema, per això eliminar i tornar a afegir de vegades salta la petició de contrasenya. Si el Mac surt del vostre control, localitzeu l'element pel nom del servei a Accés a Clauers i revoqueu el compte, el certificat o la clau de parell que representa la credencial desada. Un fitxer de configuració copiat és una credencial viva fins i tot després de l'eliminació local.

Verifiqueu l'eliminació i llegiu correctament un perfil que torna

L'eliminació s'acaba quan el servei ha desaparegut de les dues vistes i continua absent després d'un reinici. Reviseu scutil --nc list per a l'identificador de servei, confirmeu que la resolució de noms fa servir el resolutor que espereu amb scutil --dns i reinicieu un cop, perquè les regles sota demanda i els agents d'inici de sessió són les dues coses que només es mostren en un arrencada nova.

Si encara hi és, no elimineu més objectes. Esbrineu quina capa l'ha tornat a crear: un perfil MDM torna a enviar el servei, un agent de client el reconstrueix o el servei no es va eliminar mai perquè el nom no coincidia. Aquesta resposta decideix si necessiteu el desinstal·lador del proveïdor, el vostre equip d'IT o una altra passada pel mateix diàleg d'eliminació. La guia d'eliminació d'Apple cobreix el camí admès per als serveis que heu afegit; els romanents són la part que heu de comprovar vosaltres mateixos: elimina una configuració VPN.