Spravovaný profil VPN na Macu se nemaže? Zkontrolujte těchto pět kroků
Než na Macu smažete spravovaný profil VPN, ověřte, komu patří, co datová zátěž vynucuje a proč je odstranění blokované, pomocí pěti kroků v pořadí.
Váš Mac drží profil VPN, který se odmítá smazat, nebo se smaže a po restartu se vrátí. Obvykle je to otázka správy, ne poškozený klient. Následující kontroly jdou od vlastnictví k datové zátěži a k pravidlům opětovného připojení a každá vás může zastavit dřív, než strávíte odpoledne v nesprávném panelu. Dělejte je v pořadí; krok, ve kterém se odpověď změní, je místo, kde vaše část končí.
Ověřte, že profil je spravovaný, ne jen uložený
Otevřete Nastavení systému a najděte Profily nebo Správu zařízení. Podle verze macOS je seznam v Soukromí a zabezpečení (Profily) nebo v Obecné (Správa zařízení). Profil, který ukazuje název organizace, krátký popis a nemá tlačítko mínus, nainstalovala organizace, ne vy.
Dvě kontroly v terminálu rychle vyřeší vlastnictví. První hlásí zápis, druhá vypisuje profily zařízení:
sudo profiles status -type enrollment
sudo profiles -PPokud zápis říká ano a seznam profilů je prázdný, neuzavírejte, že není nic nainstalováno. Na spravovaných Macích zůstávají některé zátěže doručené MDM skryté nástroji profiles, i když jsou aktivní. Panel Správa zařízení je autoritativní pohled na to, co organizace odeslala, a prázdný výpis z příkazové řádky na zapsaném Macu je rozpor, který byste neměli řešit hádáním.
Čtěte datovou zátěž, ne zobrazovaný název
Profil VPN je kontejner a viditelný název říká málo o tom, co je uvnitř. Jedna zátěž může nést adresu serveru IKEv2, vzdálený identifikátor, metodu ověřování a certifikát s vlastním UUID. Druhá zátěž ve stejném profilu může dodat identitní certifikát, který tunel potřebuje, a proto certifikát, který v Keychainu vypadá chybějící, může přesto dorazit stejným profilem.
Vypište zátěže a přečtěte klíče, na kterých záleží:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Než cokoli změníte, zapište UUID zátěží. Jsou to identifikátory, které správce potřebuje k nalezení přesného objektu, a také říkají, zda tunel a certifikát pocházejí ze stejného zdroje, nebo ze dvou různých nasazení.
Sledujte, co tunel vrací
Pokud se tunel sám restartuje, profil téměř jistě obsahuje pravidlo na vyžádání. Pravidlo, které odpovídá jakémukoli rozhraní s akcí Connect, spustí tunel při připojení Wi-Fi, při probuzení Macu ze spánku nebo při selhání testu DNS. Klient nenabízí přepínač, který by zátěž přebil.
Seznam služeb a konfigurace jednotlivých služeb pocházejí ze scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Ve výstupu show najděte OnDemandRules a přečtěte hodnotu Action u každé položky. Connect tunel zvedne, Disconnect ho strhne a Ignore ponechá aktuální stav beze změny. První pravidlo, které odpovídá všemu s Connect, je obvyklý důvod, proč tunel po odpojení nezůstane vypnutý.
Pokud připojení v scutil --nc list chybí, není nainstalované jako systémová služba VPN. To ukazuje na síťové rozšíření vlastněné klientskou aplikací, kde profil možná předává jen konfiguraci aplikace a aplikace sama rozhoduje, kdy se připojit.
Rozhodněte, zda je odstranění na vás
Smazání blokují dva mechanismy. Zátěž může nastavit PayloadRemovalDisallowed, což profil v rozhraní znepřístupní k odstranění, a Mac může být pod dohledem, takže odstranění profilu správy se rovnou odmítne. Ani jedno není chyba a mazání nesouvisejících certifikátů nebo profilu správy, abyste situaci vynutili, vás nechá s mnohem větším problémem, než s kterým jste začali.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
U pracovního Macu je správná cesta podpora nebo odchod administrátora. Vezměte si identifikátor profilu s sebou. Tiket, který říká jen „profil VPN“, nikomu nestačí k nalezení objektu, který máte na mysli.
Shromážděte důkazy, než požádáte o pomoc
Zapište pět věcí: identifikátor profilu, UUID zátěží, verzi a build macOS ze sw_vers, podtyp VPN a přesný text selhání s časovým razítkem. Doplňte, zda je tunel plný, nebo rozdělený a zda selhává při připojení, nebo při prvním přístupu k internímu zdroji, protože tyto dvě selhání mají různé vlastníky.
U selhání síťového rozšíření obvykle stačí jeden úzký dotaz do logu:
log show --last 5m --predicate 'process == "nesessionmanager"'Zachyťte řádky kolem pokusu, ne celé okno, a před zveřejněním výsledku kdekoli začerněte názvy serverů a subjekty certifikátů. Průvodce nasazením od Applu vysvětluje, k čemu jsou spravované zátěže VPN a pravidla na vyžádání určena, a to je lepší argument než snímek obrazovky: Přehled VPN.
Když je všech pět kontrol hotových, platí přesně jedna ze tří věcí. Profil není váš k odstranění, zátěž tunel záměrně znovu připojuje, nebo klient drží konfiguraci, kterou profil nikdy neřídil. Vezměte identifikátory a časovou osu tomu, kdo vlastní zápis; to je tiket, na který někdo může reagovat. Znovu mačkat delete není.