نمایهٔ VPN مدیریت‌شده در Mac پاک نمی‌شود؟ این پنج گام را بررسی کنید
پیش از پاک کردن نمایهٔ VPN مدیریت‌شده در Mac، با پنج بررسی به‌ترتیب روشن کنید که مالک آن کیست، بار چه چیزی را تحمیل می‌کند و چرا حذف مسدود شده است.
Mac شما نمایهٔ VPNای نگه می‌دارد که از پاک شدن سر باز می‌زند، یا پاک می‌شود و پس از راه‌اندازی دوباره بازمی‌گردد. این معمولاً مسئلهٔ مدیریت است، نه کلاینت خراب. بررسی‌های زیر از مالکیت به بار و سپس به قواعد اتصال دوباره می‌رسند و هر کدام می‌تواند پیش از آنکه یک بعدازظهر را در پنجرهٔ اشتباه بگذرانید شما را متوقف کند. آن‌ها را به ترتیب انجام دهید؛ گامی که پاسخ در آن تغییر می‌کند همان‌جایی است که سهم شما پایان می‌یابد.
تأیید کنید که نمایه مدیریت می‌شود، نه فقط ذخیره شده است
تنظیمات سیستم را باز کنید و «نمایه‌ها» یا «مدیریت دستگاه» را جست‌وجو کنید. بسته به نسخهٔ macOS، فهرست زیر «حریم خصوصی و امنیت» (نمایه‌ها) یا «عمومی» (مدیریت دستگاه) است. نمایه‌ای که نام سازمان، توضیح کوتاه نشان می‌دهد و دکمهٔ منفی ندارد، سازمان نصب کرده است نه شما.
دو بررسی در ترمینال مالکیت را سریع روشن می‌کند. اولی ثبت‌نام را گزارش می‌دهد، دومی نمایه‌های دستگاه را فهرست می‌کند:
sudo profiles status -type enrollment
sudo profiles -Pاگر ثبت‌نام بله بگوید و فهرست نمایه‌ها خالی باشد، نتیجه نگیرید که چیزی نصب نشده است. در Macهای مدیریت‌شده برخی بارهای تحویلی MDM از ابزار profiles پنهان می‌مانند و در همان حال فعال‌اند. پنجرهٔ «مدیریت دستگاه» نمای معتبر آن چیزی است که سازمان فرستاده، و فهرست خالی خط فرمان روی Mac ثبت‌شده تناقضی است که نباید با حدس حلش کنید.
بار را بخوانید، نه نام نمایش‌داده‌شده را
نمایهٔ VPN یک ظرف است و نام پیدا در آن از آنچه درونش هست کم می‌گوید. یک بار می‌تواند نشانی سرور IKEv2، شناسهٔ راه‌دور، روش احراز هویت و گواهی‌ای با UUID خودش را حمل کند. بار دوم در همان نمایه می‌تواند گواهی هویتی را تأمین کند که تونل نیاز دارد، و به همین دلیل گواهی‌ای که در Keychain گم‌شده به نظر می‌رسد باز هم از همان نمایه می‌رسد.
بارها را بیرون بریزید و کلیدهای مهم را بخوانید:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"پیش از تغییر هر چیزی UUID بارها را یادداشت کنید. این‌ها شناسه‌هایی هستند که مدیر برای یافتن شیء دقیق لازم دارد و همچنین می‌گویند تونل و گواهی از یک منبع می‌آیند یا از دو استقرار متفاوت.
ببینید چه چیزی تونل را برمی‌گرداند
اگر تونل خودبه‌خود دوباره راه بیفتد، نمایه تقریباً قطعاً قاعدهٔ درخواستی را در خود دارد. قاعده‌ای که با هر رابط و کنش Connect منطبق باشد، تونل را وقتی Wi-Fi متصل می‌شود، وقتی Mac از خواب بیدار می‌شود یا وقتی کاوش DNS شکست می‌خورد راه می‌اندازد. کلاینت کلیدی عرضه نمی‌کند که بار را نادیده بگیرد.
فهرست سرویس‌ها و پیکربندی هر سرویس از scutil می‌آید:
scutil --nc list
scutil --nc show "Corporate VPN"در خروجی show عبارت OnDemandRules را بیابید و مقدار Action هر مدخل را بخوانید. Connect تونل را بالا می‌آورد، Disconnect آن را پایین می‌آورد و Ignore وضعیت فعلی را دست‌نخورده می‌گذارد. نخستین قاعده‌ای که با همه چیز و با Connect منطبق است دلیل معمول پایین نماندن تونل پس از قطع اتصال است.
اگر اتصال در scutil --nc list نباشد، به‌عنوان سرویس VPN سیستمی نصب نشده است. این به افزونهٔ شبکه‌ای اشاره دارد که مالکش یک برنامهٔ کلاینت است؛ جایی که نمایه شاید فقط پیکربندی برنامه را تحویل دهد و خود برنامه تصمیم بگیرد کِی متصل شود.
تصمیم بگیرید که حذف کار شما هست یا نه
دو سازوکار مانع پاک شدن می‌شود. بار می‌تواند PayloadRemovalDisallowed را تنظیم کند که نمایه را در رابط غیرقابل‌حذف می‌کند، و Mac می‌تواند تحت نظارت باشد به‌گونه‌ای که حذف نمایهٔ مدیریت یکسره رد شود. هیچ‌کدام اشکال نیست، و پاک کردن گواهی‌های بی‌ربط یا نمایهٔ مدیریت برای تحمیل موضوع، شما را با مشکلی بسیار بزرگ‌تر از آنچه با آن شروع کردید رها می‌کند.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
برای Mac کاری، مسیر پشتیبانی یا خروج از سازمان نزد مدیر درست است. شناسهٔ نمایه را با خود ببرید. تیکتی که فقط «نمایهٔ VPN» بگوید برای یافتن شیء مورد نظر شما به کار کسی نمی‌آید.
پیش از درخواست کمک شواهد را جمع کنید
پنج چیز را بنویسید: شناسهٔ نمایه، UUIDهای بارها، نسخه و ساخت macOS از sw_vers، زیرنوع VPN، و متن دقیق خرابی با مهر زمانی. اضافه کنید که تونل کامل است یا تقسیم‌شده و در زمان اتصال شکست می‌خورد یا در نخستین دسترسی به منبع داخلی، چون این دو خرابی مالکان متفاوتی دارند.
برای خرابی افزونهٔ شبکه، معمولاً یک پرس‌وجوی باریک در گزارش کافی است:
log show --last 5m --predicate 'process == "nesessionmanager"'خطوط پیرامون تلاش را بردارید نه کل پنجره را، و پیش از انتشار نتیجه در هر جا نام سرورها و موضوع گواهی‌ها را پاک کنید. راهنمای استقرار Apple توضیح می‌دهد بارهای VPN مدیریت‌شده و قواعد درخواستی برای چه ساخته شده‌اند، و این استدلالی بهتر از تصویر صفحه است: مرور کلی VPN.
وقتی هر پنج بررسی انجام شد، دقیقاً یکی از سه چیز درست است. نمایه مال شما نیست که حذفش کنید، بار به‌حکم طراحی تونل را دوباره وصل می‌کند، یا کلاینت پیکربندی‌ای دارد که نمایه هرگز آن را کنترل نکرده است. شناسه‌ها و خط زمانی را به کسی ببرید که مالک ثبت‌نام است؛ این تیکتی است که کسی می‌تواند رویش اقدام کند. فشار دادن دوبارهٔ دکمهٔ حذف چنین نیست.