Administreret Mac VPN-profil vil ikke slettes? Tjek disse fem trin
Før du sletter en administreret Mac VPN-profil, skal du bekræfte, hvem der ejer den, hvad profilen gennemtvinger, og hvorfor fjernelse er blokeret, med fem kontroller i rækkefølge.
Din Mac har en VPN-profil, der nægter at blive slettet, eller som slettes og vender tilbage efter en genstart. Det er normalt et administrationsspørgsmål, ikke en beskadiget klient. Kontrollerne nedenfor bevæger sig fra ejerskab til profilens indhold til regler for genopkobling, og hver af dem kan stoppe dig, før du bruger en eftermiddag i det forkerte panel. Tag dem i rækkefølge; det trin, hvor svaret ændrer sig, er der, hvor din del slutter.
Bekræft, at profilen er administreret, ikke bare gemt
Åbn Systemindstillinger, og søg efter Profiler eller Enhedsadministration. Afhængigt af macOS-versionen ligger listen under Anonymitet og sikkerhed (Profiler) eller Generelt (Enhedsadministration). En profil, der viser et organisationsnavn, en kort beskrivelse og ingen minusknap, er installeret af organisationen og ikke tilføjet af dig.
To kontroller i terminalen afgør ejerskabet hurtigt. Den første rapporterer tilmelding, den anden viser enhedens profiler:
sudo profiles status -type enrollment
sudo profiles -PHvis tilmeldingen siger ja, og profillisten er tom, skal du ikke konkludere, at der ikke er installeret noget. På administrerede Macs forbliver nogle MDM-leverede profiler skjulte for værktøjet profiles, mens de stadig er aktive. Panelet Enhedsadministration er den autoritative visning af, hvad organisationen har sendt, og en tom kommandolinjeliste på en tilmeldt Mac er en modsætning, du ikke bør løse ved at gætte.
Læs profilen, ikke visningsnavnet
En VPN-profil er en beholder, og det synlige navn siger lidt om, hvad der er indeni. En profil kan indeholde IKEv2-serveradressen, den eksterne identifikator, godkendelsesmetoden og et certifikat med sit eget UUID. En anden profil i samme beholder kan levere det identitetscertifikat, tunnelen har brug for, og derfor kan et certifikat, der ser ud til at mangle i Keychain, stadig komme gennem den samme profil.
Dump profilerne, og læs de nøgler, der betyder noget:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Notér profilernes UUID'er, før du ændrer noget. De er de identifikatorer, en administrator skal bruge for at finde det præcise objekt, og de fortæller også, om tunnelen og certifikatet kommer fra samme kilde eller fra to forskellige udrulninger.
Hold øje med, hvad der bringer tunnelen tilbage
Hvis tunnelen genstarter af sig selv, indeholder profilen næsten helt sikkert en regel for on demand. En regel, der matcher enhver grænseflade med handlingen Connect, starter tunnelen, når Wi-Fi forbindes, når Mac'en vågner fra dvale, eller når en DNS-test fejler. Klienten har ikke en kontakt, der tilsidesætter profilen.
Tjenestelisten og konfigurationen pr. tjeneste kommer fra scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Find OnDemandRules i show-outputtet, og læs Action-værdien for hver post. Connect rejser tunnelen, Disconnect river den ned, og Ignore lader den nuværende tilstand være. En første regel, der matcher alt med Connect, er den sædvanlige grund til, at en tunnel ikke bliver nede, når du afbryder den.
Hvis forbindelsen mangler i scutil --nc list, er den ikke installeret som en system-VPN-tjeneste. Det peger på en netværksudvidelse, der ejes af en klientapp, hvor profilen måske kun overdrager app-konfigurationen, og appen selv beslutter, hvornår der skal forbindes.
Afgør, om fjernelse er din opgave
To mekanismer blokerer sletning. Profilen kan sætte PayloadRemovalDisallowed, som gør profilen umulig at fjerne i brugerfladen, og Mac'en kan være under opsyn, så fjernelse af administrationsprofilen afvises blankt. Ingen af dem er en fejl, og at slette ubeslægtede certifikater eller administrationsprofilen for at gennemtvinge sagen efterlader dig med et langt større problem end det, du startede med.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
For en arbejds-Mac er administratorens support- eller offboardingvej den rigtige. Tag profilens identifikator med. En sag, der kun siger »VPN-profilen«, er ikke nok til, at nogen kan finde det objekt, du mener.
Saml beviser, før du beder om hjælp
Skriv fem ting ned: profilens identifikator, profilernes UUID'er, macOS-version og build fra sw_vers, VPN-undervejstypen og den præcise fejltekst med et tidsstempel. Tilføj, om tunnelen er fuld eller delt, og om den fejler ved forbindelse eller ved første adgang til en intern ressource, da disse to fejl har forskellige ejere.
For en fejl i en netværksudvidelse er én snæver logforespørgsel normalt nok:
log show --last 5m --predicate 'process == "nesessionmanager"'Tag linjerne omkring forsøget i stedet for hele vinduet, og rediger servernavne og certifikatsubjekter, før du poster resultatet noget sted. Apples udrulningsguide forklarer, hvad administrerede VPN-profiler og regler for on demand er beregnet til, og det er et bedre argument end et skærmbillede: VPN-oversigt.
Når alle fem kontroller er gennemført, er præcis én af tre ting sand. Profilen er ikke din at fjerne, profilen genopkobler tunnelen efter design, eller klienten har en konfiguration, som profilen aldrig har styret. Tag identifikatorerne og tidslinjen med til den, der ejer tilmeldingen; det er en sag, nogen kan handle på. At trykke slet igen er det ikke.