פרופיל VPN מנוהל ב-Mac לא נמחק? בדקו את חמשת השלבים האלה
לפני שתמחקו פרופיל VPN מנוהל ב-Mac, ודאו מי הבעלים שלו, מה המטען כופה ולמה ההסרה חסומה, בחמש בדיקות מסודרות.
ה-Mac שלכם מחזיק פרופיל VPN שמסרב להימחק, או שהוא נמחק וחוזר אחרי הפעלה מחדש. זו בדרך כלל שאלת ניהול, לא לקוח פגום. הבדיקות שלהלן עוברות מבעלות למטען ולכללי התחברות מחדש, וכל אחת מהן יכולה לעצור אתכם לפני שתבזבזו אחר צהריים בחלונית הלא נכונה. בצעו אותן לפי הסדר; השלב שבו התשובה משתנה הוא המקום שבו החלק שלכם נגמר.
ודאו שהפרופיל מנוהל, לא רק נשמר
פתחו את הגדרות המערכת וחפשו פרופילים או ניהול מכשיר. בהתאם לגרסת macOS הרשימה נמצאת תחת פרטיות ואבטחה (פרופילים) או כללי (ניהול מכשיר). פרופיל שמציג שם ארגון, תיאור קצר ואין בו כפתור מינוס הותקן על ידי הארגון ולא נוסף על ידכם.
שתי בדיקות בטרמינל מכריעות בעלות במהירות. הראשונה מדווחת על הרשמה, השנייה מציגה את פרופילי המכשיר:
sudo profiles status -type enrollment
sudo profiles -Pאם ההרשמה אומרת כן ורשימת הפרופילים ריקה, אל תסיקו שלא הותקן דבר. ב-Mac מנוהלים חלק מהמטענים שנשלחים ב-MDM נשארים מוסתרים מכלי profiles ובכל זאת פעילים. חלונית ניהול מכשיר היא התצוגה הסמכותית של מה שהארגון דחף, ורשימת שורת פקודה ריקה ב-Mac רשום היא סתירה שלא כדאי לפתור בניחוש.
קראו את המטען, לא את שם התצוגה
פרופיל VPN הוא מיכל, ואילו השם הנראה לעין אומר מעט על מה שיש בפנים. מטען אחד יכול לשאת את כתובת שרת IKEv2, את המזהה המרוחק, את שיטת האימות ותעודה עם UUID משלה. מטען שני באותו פרופיל יכול לספק את תעודת הזהות שהמנהרה זקוקה לה, ולכן תעודה שנראית חסרה ב-Keychain עשויה בכל זאת להגיע דרך אותו פרופיל.
שפכו את המטענים וקראו את המפתחות החשובים:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"רשמו את מזהי ה-UUID של המטענים לפני שתשנו משהו. אלה המזהים שמנהל צריך כדי לאתר את האובייקט המדויק, והם גם אומרים לכם אם המנהרה והתעודה מגיעות מאותו מקור או משני פריסות שונות.
שימו לב למה שמחזיר את המנהרה
אם המנהרה מופעלת מחדש מעצמה, הפרופיל כמעט בוודאות מכיל כלל לפי דרישה. כלל שמתאים לכל ממשק ולפעולה Connect מפעיל את המנהרה כשקליטת Wi-Fi מתחברת, כשהמק מתעורר משינה או כשבדיקת DNS נכשלת. הלקוח אינו חושף מתג שעוקף את המטען.
רשימת השירותים והתצורה לכל שירות מגיעות מ-scutil:
scutil --nc list
scutil --nc show "Corporate VPN"בפלט של show מצאו את OnDemandRules וקראו את ערך Action של כל רשומה. Connect מעלה את המנהרה, Disconnect מפרק אותה, ו-Ignore משאיר את המצב הנוכחי כפי שהוא. כלל ראשון שמתאים להכול עם Connect הוא הסיבה הרגילה לכך שמנהרה לא נשארת למטה אחרי שמנתקים אותה.
אם החיבור חסר ב-scutil --nc list, הוא אינו מותקן כשירות VPN מערכתי. זה מצביע על הרחבת רשת בבעלות אפליקציית לקוח, שבה הפרופיל אולי רק מוסר את תצורת האפליקציה והאפליקציה עצמה מחליטה מתי להתחבר.
החליטו אם ההסרה היא באחריותכם
שני מנגנונים חוסמים מחיקה. המטען יכול להגדיר PayloadRemovalDisallowed, מה שהופך את הפרופיל לבלתי ניתן להסרה בממשק, וה-Mac יכול להיות בפיקוח כך שהסרת פרופיל הניהול נדחית על הסף. אף אחד מהם אינו באג, ומחיקת תעודות לא קשורות או פרופיל הניהול כדי לכפות את העניין משאירה אתכם עם בעיה גדולה הרבה יותר מזו שהתחלתם בה.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
עבור Mac עבודה, המסלול הנכון הוא התמיכה או היציאה אצל המנהל. קחו אתכם את מזהה הפרופיל. קריאה שאומרת רק „פרופיל ה-VPN” אינה מספיקה למישהו כדי למצוא את האובייקט שהתכוונתם אליו.
אספו ראיות לפני שתבקשו עזרה
רשמו חמישה דברים: מזהה הפרופיל, מזהי ה-UUID של המטענים, גרסת macOS וה-build מ-sw_vers, תת-סוג ה-VPN, וטקסט הכשל המדויק עם חותמת זמן. הוסיפו אם המנהרה מלאה או מפוצלת ואם היא נכשלת בזמן ההתחברות או בגישה הראשונה למשאב פנימי, כי לשני הכשלים האלה יש בעלים שונים.
עבור כשל של הרחבת רשת, שאילתת יומן צרה אחת מספיקה בדרך כלל:
log show --last 5m --predicate 'process == "nesessionmanager"'תפסו את השורות סביב הניסיון ולא את החלון כולו, וטשטשו שמות שרתים ונושאי תעודות לפני שאתם מפרסמים את התוצאה במקום כלשהו. מדריך הפריסה של Apple מסביר למה נועדו מטעני VPN מנוהלים וכללים לפי דרישה, וזה טיעון טוב יותר מצילום מסך: סקירת VPN.
כשכל חמש הבדיקות נעשו, בדיוק אחד משלושה דברים נכון. הפרופיל אינו שלכם להסרה, המטען מחבר את המנהרה מחדש לפי התכנון, או שהלקוח מחזיק תצורה שהפרופיל מעולם לא שלט בה. קחו את המזהים ואת ציר הזמן למי שמחזיק בהרשמה; זו קריאה שמישהו יכול לפעול לפיה. לחיצה נוספת על מחיקה אינה כזו.