Hoe't jo in VPN-konfiguraasje op in Mac ferwiderje en wat der efterbliuwt

In VPN ferwiderjen op macOS liket ien aksje en is echt op syn minst fjouwer. De knop yn Systeemynstellingen smyt in netwurkstsjinst fuort út it konfiguraasje-argan fan it systeem. Hy smyt de kliïntapp, de netwurkútwreiding dy't dy app ynstallearre hat, it bewiismiddel yn jo keychain en in profyl dat troch apparaatbehear útstjoerd is, net fuort. Witte hokker objekt elk symptoom besit, is wat foarkomt dat in fuortsmiten VPN stil weromkomt.

Wat de knop Konfiguraasje fuortsmite echt fuortsmiten

Elke VPN dy't jo tafoegje wurdt in netwurkstsjinst, itselde soarte objekt as Wi-Fi of Thunderbolt Bridge. macOS bewarret se allegear hjir: /Library/Preferences/SystemConfiguration/preferences.plist, elk mei in tsjinst-ID, in werjeftenamme en in konfiguraasje-wurdboek dat it tunneltype, it serveradres en hoe't de tunnel begjint beskriuwt.

As jo Systeemynstellingen en VPN iepenje, op de ynfoknop njonken in tsjinst klikke, Konfiguraasje fuortsmite kieze en befêstigje, stoppet macOS de tunnel, smyt dat tsjinstobjekt fuort en skriuwt it argan opnij. De ôfbrek is folslein foar wat it systeem besit: de tsjinst is fuort út 'e list en neat start him by it oanmelden.

Wat de knop net berikke kin, is alles wat in oar subsystem besit. De appbondel stiet hjir: /Applications. In NetworkExtension-kliïnt draait as in systeemútwreiding dy't apart fan syn konfiguraasje registrearre is. Bewiismiddels binne keychain-items mei de tagongskontrôles fan it keychain dat se hâldt. In konfiguraasjeprofyl is eigendom fan it profylsysteem. Smyt de tsjinst fuort en alle fjouwer bliuwe krekt wêr't se wiene.

List op wat de Mac noch mient dat ynstallearre is

Meitsje in ynventarisearring foardat jo eat fuortsmite. Trije kommando's dekke de trije lagen dy't deselde sichtbere flater jouwe:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list is it gesachhawwende byld fan VPN-konfiguraasjes, mei ferbiningstatus, tsjinstnamme en tsjinst-ID. It toant faak items dy't nea yn 'e list fan Ynstellingen ferskine: oerbliuwende tsjinsten fan in kliïnt dy't jo moannen lyn ferwidere hawwe, en konfiguraasjes op oanfraach dy't stil starte. networksetup -listallnetworkservices toant de netwurktsjinsten ûnder de nammen dy't de kommando-rigel-helpers ferwachtsje, en dat is wat jo nedich hawwe om by namme fuort te smiten. profiles -P listet ynstallearre konfiguraasjeprofylen op; op in beheard Mac is de VPN miskien hielendal gjin tsjinst dy't jo tafoege hawwe, mar in payload yn ien fan dy profylen.

Lês de listen tegearre ynstee fan de earste te fertrouwen. In tsjinst yn scutil mar net yn Ynstellingen betsjut meast dat in tredde-partijkliïnt de tunnel besit en him yn syn eigen finster toant. In tsjinst yn beide bylden dy't yn Ynstellingen griis is, betsjut belied. In namme dy't nei it fuortsmijen wer ferskynt, betsjut dat eat him opnij makket, en dat eat is it echte doel.

Smyt de tsjinst fuort fia syn eigeners

Foar in tsjinst dy't jo sels tafoege hawwe, bliuw op it dokumintearre paad: Systeemynstellingen, VPN, de ynfoknop, Konfiguraasje fuortsmite. Apple dokumintearret dat paad, en it hâldt it konfiguraasje-argan konsekwint. Mei de hân bewurkje preferences.plist wylst de netwurkstapel draait, is hoe't jo dûbele of zombie-tsjinsten krije dy't gjin ynterface fuortsmiten sil.

Fan in terminal ôf, smyt de tsjinst by namme fuort mei networksetup -removenetworkservice "Service Name", en befêstigje dan mei scutil --nc list. It kommando wurket op deselde tsjinstlist as de ynterface, dus in namme dy't net yn networksetup -listallnetworkservices ferskynt, wurdt troch gjin fan beide paden fuortsmiten. As in kliïnt de tunnel besit, brûk dan earst it fuortsmijt- of deynstallaasjepaad fan dy kliïnt, want de kliïnt bout de tsjinst opnij by de folgjende start.

As de VPN fan apparaatbehear komt, binne jo net de eigener. Profylen ynstallearre troch MDM kinne as net-fuortsmytber markearre wurde, en sels in fuortsmytber profyl kin by de folgjende kontrôle wer útstjoerd wurde. Befêstigje mei profiles -P, en brûk dan it útfierproses fan jo organisaasje. De payload lokaal fuortsmite mislearret of lokket in nije ynstallaasje út.

De oerbliuwsels dy't wer ferbine sûnder tsjinst

It gewoane «it is werom»-rapport is net de tsjinst dy't weromkomt, mar de útwreiding dy't him besit. List registrearre systeemútwreidingen en app-útwreidingen fan netwurkútwreiding op:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

In NetworkExtension-kliïnt hâldt syn tunnelprovider ynstallearre ûnder syn eigen identifikaasje, los fan elke konfiguraasje. De útwreiding kin aktyf bliuwe nei't de konfiguraasje fuort is, en de menubalke-agent fan de kliïnt kin by de folgjende start in nije konfiguraasje meitsje, soms mei de namme dy't jo krekt fuortsmiten hawwe. Kontrolearje oanmelditems en de helper fan de leveransier hjir: /Library/LaunchDaemons foardat jo konkludearje dat it fuortsmijen mislearre.

Bewiismiddels binne it twadde oerbliuwsel. In bewarre wachtwurd of kliïntsertifikaat yn it oanmeld-keychain wurdt net mei de tsjinst fuortsmiten, en in IPSec-dield geheim libbet histoarysk yn it Systeem-keychain, wêrom't fuortsmite en wer tafoegje soms de wachtwurdfregering oerslacht. As de Mac bûten jo kontrôle giet, sykje it item dan by tsjinstnamme yn Keychain Access en trek it akkount, sertifikaat of pearelkey yn dat it bewarre bewiismiddel fertsjintwurdiget. A copied configuration file is a live credential even after local removal.

Kontrolearje it fuortsmijen en lês in weromkommend profyl goed

It fuortsmijen is dien as de tsjinst út beide bylden fuort is en nei in werstart fuort bliuwt. Kontrolearje scutil --nc list foar de tsjinst-ID, befêstigje dat nammeresolúsje de resolver brûkt dy't jo ferwachtsje mei scutil --dns, en werstart dan ien kear, want regels op oanfraach en oanmeldaginten binne de twa dingen dy't har allinne by in frisse boot sjen litte.

As er noch der is, smyt dan gjin objekten mear fuort. Wês út hokker laach him opnij makke hat: in MDM-profyl stjoert de tsjinst wer, in kliïntagent bout him opnij, of de tsjinst waard nea fuortsmiten omdat de namme net oerienkaam. Dat antwurd beslút oft jo de deynstallaasje fan de leveransier, jo IT-team of noch in ronde troch deselde dialooch nedich hawwe. De hantlieding fan Apple foar fuortsmijen beslacht it stipe paad foar tsjinsten dy't jo tafoege hawwe; de oerbliuwsels binne it part dat jo sels kontrolearje moatte: remove a VPN configuration.