Διαχειριζόμενο προφίλ VPN σε Mac δεν διαγράφεται; Ελέγξτε αυτά τα πέντε βήματα
Πριν διαγράψετε ένα διαχειριζόμενο προφίλ VPN σε Mac, επιβεβαιώστε ποιος το κατέχει, τι επιβάλλει το ωφέλιμο φορτίο και γιατί η αφαίρεση είναι αποκλεισμένη, με πέντε διαδοχικούς ελέγχους.
Ο Mac σας κρατά ένα προφίλ VPN που αρνείται να διαγραφεί, ή διαγράφεται και επανέρχεται μετά από επανεκκίνηση. Αυτό είναι συνήθως ζήτημα διαχείρισης, όχι χαλασμένος πελάτης. Οι έλεγχοι παρακάτω πηγαίνουν από την ιδιοκτησία στο ωφέλιμο φορτίο και στους κανόνες επανασύνδεσης, και καθένας μπορεί να σας σταματήσει πριν περάσετε ένα απόγευμα στο λάθος πλαίσιο. Εκτελέστε τους με τη σειρά· το βήμα όπου αλλάζει η απάντηση είναι εκεί όπου τελειώνει το δικό σας μέρος.
Επιβεβαιώστε ότι το προφίλ είναι διαχειριζόμενο, όχι απλώς αποθηκευμένο
Ανοίξτε τις Ρυθμίσεις Συστήματος και αναζητήστε Προφίλ ή Διαχείριση Συσκευής. Ανάλογα με την έκδοση macOS, η λίστα βρίσκεται στην Απόρρητο και ασφάλεια (Προφίλ) ή στη Γενικά (Διαχείριση Συσκευής). Ένα προφίλ που δείχνει όνομα οργανισμού, σύντομη περιγραφή και δεν έχει κουμπί πλην το εγκατέστησε ο οργανισμός και όχι εσείς.
Δύο έλεγχοι στο τερματικό λύνουν γρήγορα το ζήτημα ιδιοκτησίας. Ο πρώτος αναφέρει την εγγραφή, ο δεύτερος απαριθμεί τα προφίλ της συσκευής:
sudo profiles status -type enrollment
sudo profiles -PΑν η εγγραφή λέει ναι και η λίστα προφίλ είναι κενή, μη συμπεράνετε ότι δεν είναι τίποτα εγκατεστημένο. Σε διαχειριζόμενους Mac, μερικά ωφέλιμα φορτία που παραδίδονται από MDM μένουν κρυμμένα από το εργαλείο profiles ενώ παραμένουν ενεργά. Το πλαίσιο Διαχείριση Συσκευής είναι η έγκυρη εικόνα του τι έστειλε ο οργανισμός, και μια κενή λίστα γραμμής εντολών σε εγγεγραμμένο Mac είναι αντίφαση που δεν πρέπει να λύσετε μαντεύοντας.
Διαβάστε το ωφέλιμο φορτίο, όχι το εμφανιζόμενο όνομα
Ένα προφίλ VPN είναι ένα δοχείο, και το εμφανιζόμενο όνομα λέει λίγα για το τι υπάρχει μέσα. Ένα ωφέλιμο φορτίο μπορεί να φέρει τη διεύθυνση του διακομιστή IKEv2, το απομακρυσμένο αναγνωριστικό, τη μέθοδο ταυτοποίησης και ένα πιστοποιητικό με δικό του UUID. Ένα δεύτερο ωφέλιμο φορτίο στο ίδιο προφίλ μπορεί να παρέχει το πιστοποιητικό ταυτότητας που χρειάζεται η σήραγγα, και γι’ αυτό ένα πιστοποιητικό που φαίνεται να λείπει από το Keychain μπορεί να φτάσει μέσω του ίδιου προφίλ.
Εξάγετε τα ωφέλιμα φορτία και διαβάστε τα κλειδιά που έχουν σημασία:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Καταγράψτε τα UUID των ωφέλιμων φορτίων πριν αλλάξετε οτιδήποτε. Είναι τα αναγνωριστικά που χρειάζεται ένας διαχειριστής για να βρει το ακριβές αντικείμενο, και σας λένε επίσης αν η σήραγγα και το πιστοποιητικό προέρχονται από την ίδια πηγή ή από δύο διαφορετικές αναπτύξεις.
Προσέξτε τι επαναφέρει τη σήραγγα
Αν η σήραγγα επανεκκινεί μόνη της, το προφίλ περιέχει σχεδόν σίγουρα έναν κανόνα κατά παραγγελία. Ένας κανόνας που ταιριάζει με οποιαδήποτε διεπαφή και την ενέργεια Connect ξεκινά τη σήραγγα όταν συνδέεται το Wi-Fi, όταν ο Mac ξυπνά από ύπνο ή όταν αποτυγχάνει ένας έλεγχος DNS. Ο πελάτης δεν εκθέτει διακόπτη που υπερισχύει του ωφέλιμου φορτίου.
Η λίστα υπηρεσιών και η διαμόρφωση ανά υπηρεσία προέρχονται από το scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Στην έξοδο του show, βρείτε το OnDemandRules και διαβάστε την τιμή Action κάθε καταχώρισης. Το Connect σηκώνει τη σήραγγα, το Disconnect τη γκρεμίζει και το Ignore αφήνει την τρέχουσα κατάσταση όπως είναι. Ένας πρώτος κανόνας που ταιριάζει με όλα και έχει Connect είναι ο συνηθισμένος λόγος που μια σήραγγα δεν μένει κλειστή αφού την αποσυνδέσετε.
Αν η σύνδεση λείπει από το scutil --nc list, δεν είναι εγκατεστημένη ως υπηρεσία VPN συστήματος. Αυτό δείχνει σε επέκταση δικτύου που ανήκει σε εφαρμογή πελάτη, όπου το προφίλ μπορεί να παραδίδει μόνο τη διαμόρφωση της εφαρμογής και η ίδια η εφαρμογή αποφασίζει πότε θα συνδεθεί.
Αποφασίστε αν η αφαίρεση είναι δική σας υπόθεση
Δύο μηχανισμοί εμποδίζουν τη διαγραφή. Το ωφέλιμο φορτίο μπορεί να ορίσει PayloadRemovalDisallowed, που κάνει το προφίλ μη αφαιρέσιμο στη διεπαφή, και ο Mac μπορεί να είναι υπό εποπτεία ώστε η αφαίρεση του προφίλ διαχείρισης να αρνείται ευθέως. Κανένα από τα δύο δεν είναι σφάλμα, και η διαγραφή άσχετων πιστοποιητικών ή του προφίλ διαχείρισης για να εξαναγκάσετε την κατάσταση σας αφήνει με πολύ μεγαλύτερο πρόβλημα από εκείνο με το οποίο ξεκινήσατε.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Για Mac εργασίας, η οδός υποστήριξης ή αποχώρησης του διαχειριστή είναι η σωστή. Πάρτε μαζί σας το αναγνωριστικό του προφίλ. Ένα αίτημα που λέει μόνο «το προφίλ VPN» δεν αρκεί για να βρει κανείς το αντικείμενο που εννοείτε.
Συγκεντρώστε στοιχεία πριν ζητήσετε βοήθεια
Γράψτε πέντε πράγματα: το αναγνωριστικό του προφίλ, τα UUID των ωφέλιμων φορτίων, την έκδοση και το build του macOS από το sw_vers, τον υποτύπο VPN και το ακριβές κείμενο της αποτυχίας με χρονοσφραγίδα. Προσθέστε αν η σήραγγα είναι πλήρης ή διαχωρισμένη και αν αποτυγχάνει κατά τη σύνδεση ή κατά την πρώτη πρόσβαση σε εσωτερικό πόρο, γιατί αυτές οι δύο αποτυχίες έχουν διαφορετικούς ιδιοκτήτες.
Για αποτυχία επέκτασης δικτύου, αρκεί συνήθως ένα στενό ερώτημα στο αρχείο καταγραφής:
log show --last 5m --predicate 'process == "nesessionmanager"'Πιάστε τις γραμμές γύρω από την προσπάθεια αντί για ολόκληρο το παράθυρο, και σβήστε ονόματα διακομιστών και θέματα πιστοποιητικών πριν δημοσιεύσετε το αποτέλεσμα οπουδήποτε. Ο οδηγός ανάπτυξης της Apple εξηγεί για τι προορίζονται τα διαχειριζόμενα ωφέλιμα φορτία VPN και οι κανόνες κατά παραγγελία, και είναι καλύτερο επιχείρημα από ένα στιγμιότυπο οθόνης: Επισκόπηση VPN.
Όταν ολοκληρωθούν και οι πέντε έλεγχοι, ακριβώς ένα από τρία πράγματα ισχύει. Το προφίλ δεν είναι δικό σας για αφαίρεση, το ωφέλιμο φορτίο επανασυνδέει τη σήραγγα εξ ορισμού, ή ο πελάτης κρατά διαμόρφωση που το προφίλ δεν έλεγξε ποτέ. Πάρτε τα αναγνωριστικά και το χρονοδιάγραμμα σε όποιον κατέχει την εγγραφή· αυτό είναι αίτημα στο οποίο κάποιος μπορεί να ενεργήσει. Το να πατήσετε ξανά διαγραφή δεν είναι.