Proffil VPN Mac wedi’i reoli’n gwrthod cael ei ddileu? Gwiriwch y pum cam hyn
Cyn i chi ddileu proffil VPN Mac wedi’i reoli, cadarnhewch pwy sy’n berchen arno, beth mae’r llwyth yn ei orfodi a pham mae’r dileu wedi’i rwystro, gyda phum gwiriad mewn trefn.
Mae’ch Mac yn cadw proffil VPN sy’n gwrthod cael ei ddileu, neu mae’n ei ddileu ac yn dod yn ôl ar ôl ailgychwyn. Cwestiwn rheoli yw hyn fel arfer, nid cleient wedi torri. Mae’r gwiriadau isod yn symud o berchnogaeth i lwyth i reolau ailgysylltu, a gall pob un eich atal cyn i chi dreulio prynhawn yn y paen anghywir. Gwnewch nhw mewn trefn; y cam lle mae’r ateb yn newid yw lle mae’ch rhan chi’n gorffen.
Cadarnhewch fod y proffil wedi’i reoli, nid dim ond wedi’i gadw
Agorwch Osodiadau’r System a chwiliwch am Broffiliau neu Reoli Dyfeisiau. Yn dibynnu ar fersiwn macOS mae’r rhestr o dan Preifatrwydd a Diogelwch (Proffiliau) neu Gyffredinol (Rheoli Dyfeisiau). Proffil sy’n dangos enw sefydliad, disgrifiad byr a dim botwm minws gafodd ei osod gan y sefydliad yn hytrach na’i ychwanegu gennych chi.
Mae dau wiriad yn y terfynell yn setlo perchnogaeth yn gyflym. Mae’r cyntaf yn adrodd cofrestriad, mae’r ail yn rhestru proffiliau’r ddyfais:
sudo profiles status -type enrollment
sudo profiles -POs yw’r cofrestriad yn dweud ydy ac mae’r rhestr proffiliau’n wag, peidiwch â chasglu nad oes dim wedi’i osod. Ar Macs wedi’u rheoli mae rhai llwythi a ddanfonwyd gan MDM yn aros yn gudd rhag yr offeryn profiles tra’n parhau’n weithredol. Paen Rheoli Dyfeisiau yw’r olygfa awdurdodol o’r hyn a wthiodd y sefydliad, ac mae rhestr llinell orchymyn wag ar Mac cofrestredig yn groesdraeth na ddylech ei datrys drwy ddyfalu.
Darllenwch y llwyth, nid yr enw ar y sgrin
Mae proffil VPN yn gynhwysydd, a’r enw gweladwy’n dweud ychydig am yr hyn sydd y tu mewn. Gall un llwyth gario cyfeiriad gweinydd IKEv2, y dynodwr pell, y dull dilysu a thystysgrif â’i UUID ei hun. Gall ail lwyth yn yr un proffil ddarparu’r dystysgrif hunaniaeth sydd ei hangen ar y tiwnel, a dyna pam y gall tystysgrif sy’n edrych ar goll yn Keychain gyrraedd drwy’r un proffil o hyd.
Dympwch y llwythi a darllenwch yr allweddi sy’n bwysig:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Cofnodwch UUIDau’r llwythi cyn i chi newid unrhyw beth. Dyma’r dynodwyr sydd eu hangen ar weinyddwr i ddod o hyd i’r union wrthrych, ac maen nhw hefyd yn dweud wrthych a yw’r tiwnel a’r dystysgrif yn dod o’r un ffynhonnell neu o ddau ddefnydd gwahanol.
Gwyliwch beth sy’n dod â’r tiwnel yn ôl
Os yw’r tiwnel yn ailgychwyn ohono’i hun, mae bron yn sicr fod y proffil yn cynnwys rheol ar alw. Mae rheol sy’n cyfateb i unrhyw ryngwyneb â’r weithred Connect yn cychwyn y tiwnel pan fydd Wi-Fi yn cysylltu, pan fydd y Mac yn deffro o gwsg, neu pan fydd prawf DNS yn methu. Nid yw’r cleient yn datgelu switsh sy’n diystyru’r llwyth.
Daw’r rhestr gwasanaethau a’r ffurfweddiad fesul gwasanaeth o scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Yn allbwn show, dewch o hyd i OnDemandRules a darllenwch werth Action pob cofnod. Mae Connect yn codi’r tiwnel, mae Disconnect yn ei chwalu, ac mae Ignore yn gadael y cyflwr presennol fel y mae. Rheol gyntaf sy’n cyfateb i bopeth gyda Connect yw’r rheswm arferol pam na fydd tiwnel yn aros i lawr ar ôl i chi ei ddatgysylltu.
Os yw’r cysylltiad ar goll o scutil --nc list, nid yw wedi’i osod fel gwasanaeth VPN system. Mae hynny’n awgrymu estyniad rhwydwaith sy’n eiddo i ap cleient, lle mai dim ond ffurfweddiad yr ap y mae’r proffil yn ei drosglwyddo ac mae’r ap ei hun yn penderfynu pryd i gysylltu.
Penderfynwch ai chi sydd i wneud y dileu
Mae dau fecanwaith yn rhwystro dileu. Gall y llwyth osod PayloadRemovalDisallowed, sy’n gwneud y proffil yn anghyfnewidiol yn y rhyngwyneb, a gall y Mac fod dan oruchwyliaeth fel bod dileu’r proffil rheoli’n cael ei wrthod yn llwyr. Nid yw’r naill na’r llall yn nam, ac mae dileu tystysgrifau di-gysylltiad neu’r proffil rheoli i orfodi’r mater yn eich gadael gyda phroblem lawer mwy na’r un y gwnaethoch ddechrau â hi.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Ar gyfer Mac gwaith, y trywydd cymorth neu adael y sefydliad gan y gweinyddwr yw’r un cywir. Ewch â dynodwr y proffil gyda chi. Nid yw tocyn sy’n dweud yn unig „y proffil VPN“ yn ddigon i unrhyw un ddod o hyd i’r gwrthrych rydych yn ei olygu.
Casglwch dystiolaeth cyn gofyn am help
Ysgrifennwch bump peth: dynodwr y proffil, UUIDau’r llwythi, fersiwn a build macOS o sw_vers, ismath VPN, a thestun union y methiant gyda stamp amser. Ychwanegwch a yw’r tiwnel yn llawn neu’n hollt ac a yw’n methu wrth gysylltu neu wrth gyrchu adnodd mewnol am y tro cyntaf, oherwydd mae gan y ddau fethiant hyn wahanol berchnogion.
Ar gyfer methiant estyniad rhwydwaith, mae un ymholiad log cul fel arfer yn ddigon:
log show --last 5m --predicate 'process == "nesessionmanager"'Cymerwch y llinellau o amgylch yr ymgais yn hytrach na’r ffenestr gyfan, a mwyngalchwch enwau gweinyddwyr a phynciau tystysgrifau cyn postio’r canlyniad yn unrhyw le. Mae canllaw defnyddio Apple yn egluro at beth y bwriadwyd llwythi VPN rheoledig a rheolau ar alw, ac mae’n ddadl well na sgrinlun: Trosolwg VPN.
Pan fydd y pum gwiriad wedi’u gwneud, mae un o dri pheth yn wir yn union. Nid yw’r proffil yn eiddo i chi i’w ddileu, mae’r llwyth yn ailgysylltu’r tiwnel fel y’i cynlluniwyd, neu mae gan y cleient ffurfweddiad na reolodd y proffil mohono erioed. Ewch â’r dynodwyr a’r llinell amser at pwy bynnag sy’n berchen ar y cofrestriad; tocyn y gellir gweithredu arno yw hwnnw. Nid yw pwyso dileu eto.