Hallittu Macin VPN-profiili ei poistu? Tarkista nämä viisi vaihetta
Ennen kuin poistat hallitun Macin VPN-profiilin, varmista kuka sen omistaa, mitä hyötykuorma pakottaa ja miksi poisto on estetty, viidellä järjestyksessä tehtävällä tarkistuksella.
Macisi pitää VPN-profiilia, joka kieltäytyy poistumasta, tai se poistuu ja palaa uudelleenkäynnistyksen jälkeen. Kyse on yleensä hallinnasta, ei rikkoutuneesta asiakkaasta. Alla olevat tarkistukset etenevät omistajuudesta hyötykuormaan ja uudelleenyhdistämisen sääntöihin, ja jokainen voi pysäyttää sinut ennen kuin vietät iltapäivän väärässä paneelissa. Tee ne järjestyksessä; vaihe, jossa vastaus muuttuu, on se, mihin sinun osuutesi päättyy.
Varmista, että profiili on hallittu, ei vain tallennettu
Avaa Järjestelmäasetukset ja etsi Profiilit tai Laitteenhallinta. MacOS-versiosta riippuen luettelo on kohdassa Tietosuoja ja turvallisuus (Profiilit) tai Yleiset (Laitteenhallinta). Profiilin, joka näyttää organisaation nimen, lyhyen kuvauksen eikä miinuspainiketta, asensi organisaatio, ei sinä.
Kaksi päätepäätetarkistusta ratkaisevat omistajuuden nopeasti. Ensimmäinen kertoo rekisteröinnin, toinen luettelee laitteen profiilit:
sudo profiles status -type enrollment
sudo profiles -PJos rekisteröinti sanoo kyllä ja profiililuettelo on tyhjä, älä päättele, ettei mitään ole asennettu. Hallituissa Maceissa jotkin MDM:n toimittamat hyötykuormat pysyvät profiles-työkalulta piilossa mutta aktiivisina. Laitteenhallinta-paneeli on valtuutettu näkymä siihen, mitä organisaatio on lähettänyt, ja tyhjä komentoriviluettelo rekisteröidyssä Macissa on ristiriita, jota ei pitäisi ratkaista arvaamalla.
Lue hyötykuorma, älä näyttönimeä
VPN-profiili on säiliö, ja näkyvä nimi kertoo vähän siitä, mitä sisällä on. Yksi hyötykuorma voi sisältää IKEv2-palvelimen osoitteen, etätunnisteen, todentamismenetelmän ja varmenteen omalla UUID:llaan. Toinen hyötykuorma samassa profiilissa voi tarjota tunnelin tarvitseman identiteettivarmenteen, minkä vuoksi Avainketjusta puuttuvalta näyttävä varmenne voi silti saapua saman profiilin kautta.
Pura hyötykuormat ja lue olennaiset avaimet:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Kirjaa hyötykuormien UUID:t ennen kuin muutat mitään. Ne ovat tunnisteet, joita ylläpitäjä tarvitsee löytääkseen täsmällisen objektin, ja ne kertovat myös, tulevatko tunneli ja varmenne samasta lähteestä vai kahdesta eri käyttöönotosta.
Seuraa, mikä tuo tunnelin takaisin
Jos tunneli käynnistyy itsestään uudelleen, profiili sisältää lähes varmasti pyynnöstä-säännön. Sääntö, joka vastaa mitä tahansa liitäntää ja Connect-toimintoa, käynnistää tunnelin, kun Wi-Fi yhdistyy, kun Mac herää unesta tai kun DNS-koetin epäonnistuu. Asiakasohjelma ei tarjoa kytkintä, joka ohittaisi hyötykuorman.
Palveluluettelo ja palvelukohtainen kokoonpano tulevat scutilista:
scutil --nc list
scutil --nc show "Corporate VPN"Etsi show-tulosteesta OnDemandRules ja lue jokaisen merkinnän Action-arvo. Connect nostaa tunnelin, Disconnect repii sen alas ja Ignore jättää nykyisen tilan ennalleen. Ensimmäinen sääntö, joka vastaa kaikkea ja jossa on Connect, on tavallinen syy siihen, ettei tunneli pysy alas katkaisun jälkeen.
Jos yhteys puuttuu scutil --nc list -luettelosta, sitä ei ole asennettu järjestelmän VPN-palveluksi. Tämä viittaa asiakassovelluksen omistamaan verkkolaajennukseen, jossa profiili ehkä luovuttaa vain sovelluksen kokoonpanon ja sovellus itse päättää, milloin yhdistää.
Päätä, onko poisto sinun tehtäväsi
Kaksi mekanismia estää poiston. Hyötykuorma voi asettaa PayloadRemovalDisallowed-asetuksen, joka tekee profiilista poistamattoman käyttöliittymässä, ja Mac voi olla valvottu niin, että hallintaprofiilin poisto evätään suoraan. Kumpikaan ei ole vika, ja aiheeseen liittymättömien varmenteiden tai hallintaprofiilin poistaminen asian pakottamiseksi jättää sinut paljon suuremman ongelman kanssa kuin se, jolla aloitit.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Työ-Macin kohdalla oikea reitti on ylläpitäjän tuki tai käytöstä poisto. Ota profiilin tunniste mukaan. Tiketti, jossa lukee vain ”VPN-profiili”, ei riitä kenellekään löytämään tarkoittamaasi objektia.
Kerää todisteet ennen kuin pyydät apua
Kirjoita viisi asiaa: profiilin tunniste, hyötykuormien UUID:t, macOS:n versio ja build sw_vers-komennosta, VPN:n alityyppi ja virheen tarkka teksti aikaleimalla. Lisää, onko tunneli täysi vai jaettu ja epäonnistuuko se yhdistettäessä vai ensimmäisellä pääsyllä sisäiseen resurssiin, koska näillä kahdella vikalla on eri omistajat.
Verkkolaajennuksen vian kohdalla yksi kapea lokikysely riittää yleensä:
log show --last 5m --predicate 'process == "nesessionmanager"'Tallenna yrityksen ympäriltä rivit koko ikkunan sijaan ja peitä palvelimien nimet ja varmenteiden subjektit ennen kuin julkaiset tuloksen missään. Applen käyttöönotto-opas selittää, mihin hallitut VPN-hyötykuormat ja pyynnöstä-säännöt on tarkoitettu, ja se on parempi argumentti kuin kuvakaappaus: VPN:n yleiskatsaus.
Kun kaikki viisi tarkistusta on tehty, täsmälleen yksi kolmesta pitää paikkansa. Profiili ei ole sinun poistettavaksesi, hyötykuorma yhdistää tunnelin uudelleen suunnittelunsa mukaisesti, tai asiakasohjelmalla on kokoonpano, jota profiili ei koskaan hallinnut. Vie tunnisteet ja aikajana sille, joka omistaa rekisteröinnin; se on tiketti, johon joku voi reagoida. Poista-painikkeen painaminen uudelleen ei ole.