Hallatav Maci VPN-profiil ei kustu? Kontrollige neid viit sammu
Enne hallatava Maci VPN-profiili kustutamist veenduge, kellele see kuulub, mida kasulik koormus kehtestab ja miks eemaldamine on blokeeritud, viie järjestikuse kontrolliga.
Teie Macis püsib VPN-profiil, mis keeldub kustumast, või kustub ja naaseb pärast taaskäivitust. Tavaliselt on see haldusküsimus, mitte katkine klient. Allolevad kontrollid liiguvad omandist kasuliku koormuseni ja taasühendamise reegliteni ning igaüks neist võib teid peatada, enne kui veedate pärastlõuna vales paneelis. Tehke neid järjekorras; samm, kus vastus muutub, on koht, kus teie osa lõpeb.
Kinnitage, et profiil on hallatav, mitte ainult salvestatud
Avage Süsteemi seaded ja otsige valikut Profiilid või Seadmehaldus. Sõltuvalt macOS-i versioonist asub nimekiri jaotises Privaatsus ja turvalisus (Profiilid) või Üldine (Seadmehaldus). Profiili, mis näitab organisatsiooni nime, lühikirjeldust ja millel pole miinusnuppu, paigaldas organisatsioon, mitte teie.
Kaks terminalikontrolli selgitavad omandi kiiresti. Esimene teatab registreerimisest, teine loetleb seadme profiilid:
sudo profiles status -type enrollment
sudo profiles -PKui registreerimine ütleb jah ja profiilide nimekiri on tühi, ärge järeldage, et midagi pole paigaldatud. Hallatavates Macides jäävad mõned MDM-i kaudu edastatud koormused tööriista profiles eest peidetuks, kuigi need on endiselt aktiivsed. Paneel Seadmehaldus on autoriteetne vaade sellele, mida organisatsioon saatis, ja tühi käsurealoend registreeritud Macis on vastuolu, mida ei tohiks lahendada oletamisega.
Lugege kasulikku koormust, mitte kuvatavat nime
VPN-profiil on konteiner ja nähtav nimi ütleb vähe selle kohta, mis seal sees on. Üks koormus võib kanda IKEv2 serveri aadressi, kaugidentifikaatorit, autentimismeetodit ja sertifikaati oma UUID-ga. Teine koormus samas profiilis võib anda identiteedisertifikaadi, mida tunnel vajab, mistõttu Keychainis puuduvana näiv sertifikaat võib ikkagi sama profiili kaudu kohale jõuda.
Laske koormused välja ja lugege olulisi võtmeid:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Kirjutage koormuste UUID-d üles enne, kui midagi muudate. Need on identifikaatorid, mida administraator vajab täpse objekti leidmiseks, ja need ütlevad ka, kas tunnel ja sertifikaat pärinevad samast allikast või kahest erinevast juurutusest.
Jälgige, mis toob tunneli tagasi
Kui tunnel käivitub iseenesest uuesti, sisaldab profiil peaaegu kindlasti nõudmisel reeglit. Reegel, mis vastab mis tahes liidesele ja toimingule Connect, käivitab tunneli, kui Wi-Fi ühendub, kui Mac ärkab unest või kui DNS-proov ebaõnnestub. Klient ei paku lülitit, mis koormuse tühistaks.
Teenuste nimekiri ja teenusepõhine konfiguratsioon tulevad scutilist:
scutil --nc list
scutil --nc show "Corporate VPN"Otsige show väljundist üles OnDemandRules ja lugege iga kirje Action väärtust. Connect tõstab tunneli, Disconnect rebib selle maha ja Ignore jätab praeguse oleku muutmata. Esimene reegel, mis sobib kõigega ja millel on Connect, on tavaline põhjus, miks tunnel ei jää pärast katkestamist alla.
Kui ühendus scutil --nc list-is puudub, ei ole see paigaldatud süsteemse VPN-teenusena. See viitab kliendirakendusele kuuluvale võrgulaiendile, kus profiil võib edastada ainult rakenduse konfiguratsiooni ja rakendus ise otsustab, millal ühenduda.
Otsustage, kas eemaldamine on teie asi
Kustutamist blokeerivad kaks mehhanismi. Koormus võib määrata PayloadRemovalDisallowed, mis muudab profiili liideses eemaldamatuks, ja Mac võib olla järelevalve all nii, et haldusprofiili eemaldamine lükatakse otse tagasi. Kumbki pole viga, ja seotud sertifikaatide või haldusprofiili kustutamine asja jõuga lahendamiseks jätab teid palju suurema probleemiga kui see, millega alustasite.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Töö-Maci puhul on õige tee administraatori tugi või töölt lahkumise protseduur. Võtke profiili identifikaator kaasa. Pilet, kus on kirjas ainult „VPN-profiil“, ei aita kellelgi leida objekti, mida te silmas peate.
Koguge tõendeid enne abi palumist
Kirjutage üles viis asja: profiili identifikaator, koormuste UUID-d, macOS-i versioon ja build käsust sw_vers, VPN-i alamtüüp ja täpne veatekst ajatempliga. Lisage, kas tunnel on täielik või jagatud ja kas see ebaõnnestub ühendamisel või esimesel juurdepääsul sisemisele ressursile, sest neil kahel rikkel on erinevad omanikud.
Võrgulaiendi rikke korral piisab tavaliselt ühest kitsast logipäringust:
log show --last 5m --predicate 'process == "nesessionmanager"'Haarake katse ümber olevad read, mitte kogu aken, ja redigeerige serverinimed ja sertifikaadi subjektid enne, kui tulemuse kuhugi postitate. Apple’i juurutamisjuhend selgitab, milleks on hallatavad VPN-koormused ja nõudmisel reeglid mõeldud, ja see on parem argument kui ekraanipilt: VPN-i ülevaade.
Kui kõik viis kontrolli on tehtud, kehtib täpselt üks kolmest. Profiil ei ole teie eemaldada, koormus ühendab tunneli projekti järgi uuesti või hoiab klient konfiguratsiooni, mida profiil ei ole kunagi juhtinud. Viige identifikaatorid ja ajatelg selle juurde, kellele registreerimine kuulub; see on pilet, mille alusel keegi saab tegutseda. Uuesti kustutamise vajutamine seda pole.