Behearree Mac-VPN-profyl wol net fuort? Kontrolearje dizze fiif stappen
Foardat jo in behearree Mac-VPN-profyl fuortsmite, befêstigje wa't it besit, wat de lading ôftwingt en wêrom't fuortsmitten blokkearre is, mei fiif oardere kontrôles.
Jo Mac hâldt in VPN-profyl dat wegeret fuort te gean, of it giet fuort en komt nei in werstart werom. Dat is meastentiids in behearspraach, net in skansearre klant. De kontrôles hjirûnder geane fan eigendom nei lading nei regels foar werferbining, en elk kin jo stopje foardat jo in middei yn it ferkearde paniel trochbringe. Wurkje se yn oarder ôf; de stap dêr't it antwurd feroaret is dêr't jo part einiget.
Befêstigje dat it profyl beheard wurdt, net allinnich bewarre
Iepenje Systeemynstellingen en sykje nei Profylen of Apparaatbehear. Ofhingjend fan de macOS-ferzje stiet de list ûnder Privacy en befeiliging (Profylen) of Algemien (Apparaatbehear). In profyl dat in organisaasjenamme, in koarte beskriuwing en gjin minusknop toant, is troch de organisaasje ynstalleare en net troch jo tafoege.
Twa kontrôles yn de terminal beslisje eigendom fluch. De earste rapportearret ynskriuwing, de twadde listet apparaatprofylen op:
sudo profiles status -type enrollment
sudo profiles -PAs ynskriuwing ja seit en de profylist is leech, konkludearje dan net dat neat ynstalleare is. Op behearde Macs bliuwe guon troch MDM levere ladingen ferburgen foar it ark profiles wylst se aktyf bliuwe. It paniel Apparaatbehear is de gesachhawwende werjefte fan wat de organisaasje stjoerd hat, en in lege kommandorigel-list op in ynskreaune Mac is in tsjinstridichheid dy't jo net troch te rieden oplosse moatte.
Lês de lading, net de werjefte namme
In VPN-profyl is in kontener, en de sichtbere namme seit net folle oer wat der binnenyn sit. Ien lading kin it IKEv2-tsjinneradres, de ôfstânsidentifikaasje, de autentikaasjemetoade en in sertifikaat mei syn eigen UUID drage. In twadde lading yn itselde profyl kin it identiteitssertifikaat leverje dat de tunnel nedich hat, dêrom kin in sertifikaat dat yn Keychain mist, dochs troch itselde profyl oankomme.
Smyt de ladingen út en lês de kaais dy't fan belang binne:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Skriuw de UUID's fan de ladingen op foardat jo eat feroarje. Se binne de identifikaasjes dy't in behearder nedich hat om it krekte objekt te finen, en se fertelle jo ek oft de tunnel en it sertifikaat fan deselde boarne komme of fan twa ferskillende útrôljen.
Hâld yn 'e gaten wat de tunnel werombringt
As de tunnel fan himsels wer start, befettet it profyl hast grif in regel op oanfraach. In regel dy't mei elke ynterface en de aksje Connect oerienkomt, startet de tunnel as Wi-Fi ferbynt, as de Mac út sliep wekker wurdt of as in DNS-probe mislearret. De klant biedt gjin skeakel dy't de lading oerstimt.
De tsjinstlist en de konfiguraasje per tsjinst komme fan scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Syklje yn de show-útgong nei OnDemandRules en lês de Action-wearde fan elk item. Connect bringt de tunnel omheech, Disconnect skuort him del, en Ignore lit de hjoeddeiske steat gewurde. In earste regel dy't alles mei Connect oerienkomt is de gewoane reden dat in tunnel net del bliuwt neidat jo him ferbrekke.
As de ferbining yn scutil --nc list mist, is dy net as systeem-VPN-tsjinst ynstalleare. Dat wiist op in netwurkútwreiding fan in klantapp, dêr't it profyl miskien allinnich de app-konfiguraasje oerdraacht en de app sels beslút wannear't der ferbûn wurde moat.
Beslis oft it fuortsmitten jo wurk is
Twa meganismen blokkearje fuortsmitten. De lading kin PayloadRemovalDisallowed ynstelle, wat it profyl yn de ynterface net-fuortsmytber makket, en de Mac kin ûnder tafersjoch stean sadat it fuortsmitten fan it behearprofyl bot wegere wurdt. Gjin fan beide is in bug, en it fuortsmitten fan net-relatearre sertifikaten of it behearprofyl om de saak te twingen lit jo efter mei in folle grutter probleem as dat jo begûn binne.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Foar in wurk-Mac is de stipe- of ôffierrûte fan de behearder de goede. Nim de profylidentifikaasje mei. In ticket dêr't allinnich „it VPN-profyl” yn stiet is net genôch foar immen om it objekt te finen dat jo bedoele.
Sammele bewiis foardat jo om help freegje
Skriuw fiif dingen op: de profylidentifikaasje, de UUID's fan de ladingen, de macOS-ferzje en build út sw_vers, it VPN-subtype, en de krekte flaterskrift mei in tiidstimpel. Foegje ta oft de tunnel fol of splitst is en oft er by ferbinen of by de earste tagong ta in yntern boarne mislearret, want dy twa flaters hawwe ferskillende eigners.
Foar in flater fan in netwurkútwreiding is ien smelle logfraach meastentiids genôch:
log show --last 5m --predicate 'process == "nesessionmanager"'Fang de rigels om de poging hinne yn stee fan it hiele finster, en ferbergje tsjinnernammen en sertifikaatûnderwerpen foardat jo it resultaat earne pleatse. De útrôlguide fan Apple ferklearret wêr't behearde VPN-ladingen en regels op oanfraach foar bedoeld binne, en dat is in better argumint as in skermprint: Oersjoch fan VPN.
As alle fiif kontrôles dien binne, is krekt ien fan trije dingen wier. It profyl is net fan jo om fuort te smiten, de lading ferbynt de tunnel neffens ûntwerp op 'e nij, of de klant hâldt in konfiguraasje dy't it profyl nea behearske hat. Nim de identifikaasjes en de tiidline nei wa't de ynskriuwing besit; dat is in ticket dêr't immen op hannelje kin. Wer op fuortsmite drukke is dat net.