Verwaltetes Mac-VPN-Profil lässt sich nicht löschen? Prüfen Sie diese fünf Schritte
Bevor Sie ein verwaltetes Mac-VPN-Profil löschen, klären Sie, wem es gehört, was die Nutzlast erzwingt und warum das Entfernen blockiert ist, mit fünf Prüfungen in fester Reihenfolge.
Ihr Mac behält ein VPN-Profil, das sich weigert, gelöscht zu werden, oder es wird gelöscht und kehrt nach einem Neustart zurück. Das ist meist eine Frage der Verwaltung, kein defekter Client. Die folgenden Prüfungen führen von der Eigentümerschaft über die Nutzlast zu den Regeln für die Wiederverbindung, und jede kann Sie stoppen, bevor Sie einen Nachmittag im falschen Bereich verbringen. Arbeiten Sie sie der Reihe nach ab; der Schritt, an dem sich die Antwort ändert, ist der Punkt, an dem Ihr Teil endet.
Bestätigen Sie, dass das Profil verwaltet und nicht nur gespeichert ist
Öffnen Sie die Systemeinstellungen und suchen Sie nach Profile oder Geräteverwaltung. Je nach macOS-Version steht die Liste unter Datenschutz & Sicherheit (Profile) oder Allgemein (Geräteverwaltung). Ein Profil, das einen Organisationsnamen, eine kurze Beschreibung und keine Minus-Schaltfläche zeigt, wurde von der Organisation installiert und nicht von Ihnen hinzugefügt.
Zwei Terminalprüfungen klären die Eigentümerschaft schnell. Die erste meldet die Registrierung, die zweite listet die Geräteprofile auf:
sudo profiles status -type enrollment
sudo profiles -PWenn die Registrierung ja sagt und die Profilliste leer ist, schließen Sie nicht, dass nichts installiert ist. Auf verwalteten Macs bleiben einige von MDM gelieferte Nutzlasten vor dem Werkzeug profiles verborgen, während sie weiter aktiv sind. Der Bereich Geräteverwaltung ist die maßgebliche Ansicht dessen, was die Organisation verteilt hat, und eine leere Befehlszeilenliste auf einem registrierten Mac ist ein Widerspruch, den Sie nicht durch Raten auflösen sollten.
Lesen Sie die Nutzlast, nicht den Anzeigenamen
Ein VPN-Profil ist ein Container, und der sichtbare Name sagt wenig darüber, was darin steckt. Eine Nutzlast kann die IKEv2-Serveradresse, die Remote-Kennung, die Authentifizierungsmethode und ein Zertifikat mit eigener UUID enthalten. Eine zweite Nutzlast im selben Profil kann das Identitätszertifikat liefern, das der Tunnel braucht, weshalb ein im Schlüsselbund scheinbar fehlendes Zertifikat dennoch über dasselbe Profil ankommen kann.
Geben Sie die Nutzlasten aus und lesen Sie die entscheidenden Schlüssel:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Notieren Sie die UUIDs der Nutzlasten, bevor Sie etwas ändern. Sie sind die Kennungen, die ein Administrator braucht, um das genaue Objekt zu finden, und sie sagen Ihnen auch, ob Tunnel und Zertifikat aus derselben Quelle oder aus zwei verschiedenen Bereitstellungen stammen.
Achten Sie darauf, was den Tunnel zurückbringt
Wenn der Tunnel von selbst neu startet, enthält das Profil fast sicher eine On-Demand-Regel. Eine Regel, die auf jede Schnittstelle mit der Aktion Connect passt, startet den Tunnel, wenn sich Wi-Fi verbindet, wenn der Mac aus dem Ruhezustand aufwacht oder wenn eine DNS-Prüfung fehlschlägt. Der Client bietet keinen Schalter, der die Nutzlast außer Kraft setzt.
Die Dienstliste und die Konfiguration pro Dienst kommen von scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Suchen Sie in der Ausgabe von show nach OnDemandRules und lesen Sie den Action-Wert jedes Eintrags. Connect baut den Tunnel auf, Disconnect reißt ihn ab, und Ignore lässt den aktuellen Zustand unverändert. Eine erste Regel, die auf alles mit Connect passt, ist der übliche Grund, warum ein Tunnel nach dem Trennen nicht unten bleibt.
Fehlt die Verbindung in scutil --nc list, ist sie nicht als System-VPN-Dienst installiert. Das deutet auf eine Netzwerkerweiterung hin, die einer Client-App gehört, bei der das Profil womöglich nur die App-Konfiguration übergibt und die App selbst entscheidet, wann sie sich verbindet.
Entscheiden Sie, ob das Entfernen Ihre Sache ist
Zwei Mechanismen blockieren das Löschen. Die Nutzlast kann PayloadRemovalDisallowed setzen, was das Profil in der Oberfläche nicht entfernbar macht, und der Mac kann überwacht sein, sodass das Entfernen des Verwaltungsprofils rundheraus abgelehnt wird. Beides ist kein Fehler, und unbeteiligte Zertifikate oder das Verwaltungsprofil zu löschen, um die Sache zu erzwingen, hinterlässt Ihnen ein weit größeres Problem als das, mit dem Sie begonnen haben.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Bei einem Arbeits-Mac ist der Support- oder Offboarding-Weg des Administrators der richtige. Nehmen Sie die Profilkennung mit. Ein Ticket, das nur „das VPN-Profil“ sagt, reicht niemandem, um das Objekt zu finden, das Sie meinen.
Sammeln Sie Belege, bevor Sie um Hilfe bitten
Notieren Sie fünf Dinge: die Profilkennung, die UUIDs der Nutzlasten, die macOS-Version und den Build aus sw_vers, den VPN-Subtyp und den genauen Fehlertext mit Zeitstempel. Ergänzen Sie, ob der Tunnel vollständig oder geteilt ist und ob er beim Verbinden oder beim ersten Zugriff auf eine interne Ressource scheitert, denn diese beiden Fehler haben verschiedene Zuständige.
Für einen Fehler einer Netzwerkerweiterung genügt meist eine enge Log-Abfrage:
log show --last 5m --predicate 'process == "nesessionmanager"'Erfassen Sie die Zeilen rund um den Versuch statt des ganzen Fensters, und schwärzen Sie Servernamen und Zertifikatsubjekte, bevor Sie das Ergebnis irgendwo veröffentlichen. Apples Bereitstellungshandbuch erklärt, wofür verwaltete VPN-Nutzlasten und On-Demand-Regeln gedacht sind, und das ist ein besseres Argument als ein Screenshot: VPN-Überblick.
Wenn alle fünf Prüfungen erledigt sind, trifft genau eines von drei Dingen zu. Das Profil ist nicht Ihre Sache zum Entfernen, die Nutzlast verbindet den Tunnel konstruktionsbedingt neu, oder der Client hält eine Konfiguration, die das Profil nie gesteuert hat. Bringen Sie die Kennungen und den Zeitverlauf zu dem, der die Registrierung besitzt; das ist ein Ticket, auf das jemand reagieren kann. Erneut Löschen zu drücken ist es nicht.