Kiel forigi VPN-agordon sur Mac kaj kio restas

Forigi VPN en macOS aspektas kiel unu ago kaj fakte estas almenaŭ kvar. La butono en Sistemaj Agordoj forigas retan servon el la sistema agorda konservejo. Ĝi ne forigas la klientan aplikaĵon, la retan kromprogramon kiun tiu aplikaĵo instalas, la akreditaĵon en via ŝlosilringo, aŭ profilon puŝitan de aparata administrado. Scii kiun objekton posedas ĉiu simptomo estas tio, kio malhelpas forigitan VPN-on silente reveni.

Kion la butono Forigi agordon vere forigas

Ĉiu VPN, kiun vi aldonas, fariĝas reta servo, la sama speco de objekto kiel Wi-Fi aŭ Thunderbolt Bridge. macOS tenas ĉiujn en /Library/Preferences/SystemConfiguration/preferences.plist, ĉiu kun serva identigilo, montrata nomo kaj agorda vortaro, kiu priskribas la tunelan tipon, la servilan adreson kaj kiel la tunelo komenciĝas.

Kiam vi malfermas Sistemajn Agordojn, VPN, klakas la informan butonon apud servo, elektas Forigi agordon kaj konfirmas, macOS haltigas la tunelon, forigas tiun servan objekton kaj reskribas la konservejon. La malmuntado estas kompleta por tio, kion posedas la sistemo: la servo malaperis el la listo kaj nenio komencas ĝin ĉe saluto.

Kion la butono ne povas atingi estas ĉio posedata de alia subsistemo. La aplikaĵa pako loĝas en /Applications. NetworkExtension-kliento funkcias kiel sistema kromprogramo registrita aparte de sia agordo. Akreditaĵoj estas ŝlosilringaj eroj kun la alirkontroloj de tiu ŝlosilringo, kiu tenas ilin. Agordan profilon posedas la profila sistemo. Forigu la servon kaj ĉiuj kvar restas ekzakte kie ili estis.

Listigu tion, kion la Mac ankoraŭ opinias instalita

Faru inventaron antaŭ ol forigi ion ajn. Tri komandoj kovras la tri tavolojn, kiuj produktas la saman videblan fiaskon:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list estas la aŭtoritata vido de VPN-agordoj, kun konekta stato, serva nomo kaj serva identigilo. Ĝi ofte montras erojn, kiuj neniam aperas en la listo de Agordoj: restintaj servoj de kliento, kiun vi malinstalis antaŭ monatoj, kaj laŭpostulaj agordoj, kiuj komenciĝas silente. networksetup -listallnetworkservices montras la retajn servojn laŭ la nomoj, kiujn atendas la komandliniaj iloj, kion vi bezonas por forigo laŭ nomo. profiles -P listigas instalitajn agordajn profilojn; en administrata Mac la VPN eble tute ne estas servo, kiun vi aldonis, sed utilaĵo ene de unu el tiuj profiloj.

Legu la listojn kune anstataŭ fidi la unuan. Servo en scutil sed ne en Agordoj kutime signifas, ke triaparta kliento posedas la tunelon kaj montras ĝin en sia propra fenestro. Servo en ambaŭ vidoj, kiu estas griza en Agordoj, signifas politikon. Nomo, kiu reaperas post forigo, signifas, ke io rekreas ĝin, kaj tiu io estas la vera celo.

Forigu la servon per ĝia posedanto

Por servo, kiun vi mem aldonis, restu sur la dokumentita vojo: Sistemaj Agordoj, VPN, la informa butono, Forigi agordon. Apple dokumentas tiun fluon, kaj ĝi tenas la agordan konservejon kohera. Mane redakti preferences.plist dum la reta stako funkcias estas kiel vi finas kun duplikataj aŭ zombiaj servoj, kiujn neniu interfaco forigos.

El terminalo, forigu la servon laŭ nomo per networksetup -removenetworkservice "Service Name", poste konfirmu per scutil --nc list. La komando agas sur la sama servolisto kiel la interfaco, do nomo, kiu ne aperas en networksetup -listallnetworkservices, ne estos forigita per iu ajn el la du vojoj. Kiam kliento posedas la tunelon, uzu unue la forigan aŭ malinstalan vojon de tiu kliento, ĉar la kliento rekonstruas la servon la venontan fojon, kiam ĝi lanĉiĝas.

Se la VPN venis de aparata administrado, vi ne estas la posedanto. Profiloj instalitaj de MDM povas esti markitaj kiel neforigeblaj, kaj eĉ forigebla povas esti puŝita denove ĉe la sekva kontrolo. Konfirmu per profiles -P, poste uzu la eligan procezon de via organizo. Forigi la utilaĵon loke aŭ malsukcesas aŭ kaŭzas reinstalon.

La restaĵoj, kiuj rekonektiĝas sen servo

La kutima raporto «ĝi revenis» ne temas pri la servo revenanta sed pri la kromprogramo, kiu posedas ĝin. Listigu registritajn sistemajn kromprogramojn kaj retkromprogramajn aplikaĵajn kromprogramojn:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

NetworkExtension-kliento tenas sian tunelprovizanton instalita sub sia propra identigilo, aparte de ajna agordo. La kromprogramo povas resti aktiva post kiam la agordo malaperis, kaj la menubreta agento de la kliento povas krei freŝan agordon venontan fojon, kiam ĝi komenciĝas, foje reuzante la nomon, kiun vi ĵus forigis. Kontrolu salutajn erojn kaj la helpanton de la vendisto en /Library/LaunchDaemons antaŭ ol konkludi, ke la forigo malsukcesis.

Akreditaĵoj estas la dua restaĵo. Konservita pasvorto aŭ klienta atestilo en la saluta ŝlosilringo ne estas forigita kun la servo, kaj IPSec-kunhava sekreto historie loĝas en la Sistema ŝlosilringo, kio estas kial forigi-kaj-realdoni foje preterlasas la pasvortan inviton. Se la Mac forlasas vian kontrolon, lokalizu la eron laŭ serva nomo en Ŝlosilringa Aliro kaj revoku la konton, atestilon aŭ kunulan ŝlosilon, kiun la konservita akreditaĵo reprezentas. Kopiita agorda dosiero estas viva akreditaĵo eĉ post loka forigo.

Kontrolu forigon kaj legu revenantan profilon ĝuste

Forigo finiĝas, kiam la servo malaperis el ambaŭ vidoj kaj restas malaperinta post restarigo. Kontrolu scutil --nc list por la serva identigilo, konfirmu, ke nomrezolucio uzas la solvilon, kiun vi atendas, per scutil --dns, poste restarigu unufoje, ĉar laŭpostulaj reguloj kaj salutaj agentoj estas la du aferoj, kiuj montriĝas nur ĉe freŝa starto.

Se ĝi ankoraŭ estas tie, ne forigu pliajn objektojn. Eltrovu, kiu tavolo rekreas ĝin: MDM-profio resendas la servon, klienta agento rekonstruas ĝin, aŭ la servo neniam estis forigita ĉar la nomo ne kongruis. Tiu respondo decidas, ĉu vi bezonas la malinstalilon de la vendisto, vian IT-teamon, aŭ plian trairon tra la sama foriga dialogo. La foriga gvidilo de Apple kovras la subtenatan vojon por servoj, kiujn vi aldonis; la restaĵoj estas la parto, kiun vi devas kontroli mem: forigi VPN-agordon.