प्रबंधित Mac VPN प्रोफ़ाइल डिलीट नहीं हो रही? ये पाँच चरण जाँचें
प्रबंधित Mac VPN प्रोफ़ाइल हटाने से पहले पाँच क्रमिक जाँचों से तय करें कि उसका स्वामी कौन है, पेलोड क्या लागू करता है और हटाना क्यों अवरुद्ध है।
आपका Mac एक VPN प्रोफ़ाइल रखता है जो डिलीट होने से इनकार करती है, या डिलीट होकर रीस्टार्ट के बाद लौट आती है। यह आम तौर पर प्रबंधन का सवाल है, खराब क्लाइंट नहीं। नीचे की जाँचें स्वामित्व से पेलोड और फिर पुनःकनेक्शन नियमों तक जाती हैं, और हर एक आपको गलत पैनल में दोपहर बिताने से पहले रोक सकती है। इन्हें क्रम से करें; जिस चरण पर उत्तर बदलता है, वहीं आपका हिस्सा खत्म होता है।
पुष्टि करें कि प्रोफ़ाइल प्रबंधित है, केवल सहेजी नहीं गई
सिस्टम सेटिंग्स खोलें और Profiles या Device Management खोजें। macOS संस्करण के अनुसार सूची Privacy & Security (Profiles) या General (Device Management) के अंतर्गत होती है। जो प्रोफ़ाइल संगठन का नाम, छोटा विवरण दिखाती है और जिसमें माइनस बटन नहीं है, उसे संगठन ने इंस्टॉल किया है, आपने नहीं जोड़ा।
टर्मिनल में दो जाँचें स्वामित्व तुरंत तय करती हैं। पहली नामांकन बताती है, दूसरी डिवाइस प्रोफ़ाइल सूचीबद्ध करती है:
sudo profiles status -type enrollment
sudo profiles -Pअगर नामांकन हाँ कहता है और प्रोफ़ाइल सूची खाली है, तो यह न मानें कि कुछ भी इंस्टॉल नहीं है। प्रबंधित Mac पर MDM से भेजे गए कुछ पेलोड profiles टूल से छिपे रहते हैं, जबकि सक्रिय भी रहते हैं। Device Management पैनल ही इस बात का आधिकारिक दृश्य है कि संगठन ने क्या भेजा, और नामांकित Mac पर खाली कमांड-लाइन सूची ऐसा विरोधाभास है जिसे अनुमान से नहीं सुलझाना चाहिए।
दिखने वाला नाम नहीं, पेलोड पढ़ें
VPN प्रोफ़ाइल एक कंटेनर है, और दिखने वाला नाम इस बारे में कम बताता है कि अंदर क्या है। एक पेलोड में IKEv2 सर्वर पता, रिमोट पहचानकर्ता, प्रमाणीकरण विधि और अपना UUID वाला प्रमाणपत्र हो सकता है। उसी प्रोफ़ाइल में दूसरा पेलोड वह पहचान प्रमाणपत्र दे सकता है जिसकी टनल को ज़रूरत है, इसीलिए Keychain में गायब दिखने वाला प्रमाणपत्र भी उसी प्रोफ़ाइल से आ सकता है।
पेलोड डंप करें और महत्वपूर्ण कुंजियाँ पढ़ें:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"कुछ भी बदलने से पहले पेलोड के UUID लिख लें। यही वे पहचानकर्ता हैं जो व्यवस्थापक को सटीक ऑब्जेक्ट खोजने के लिए चाहिए, और ये यह भी बताते हैं कि टनल और प्रमाणपत्र एक ही स्रोत से आते हैं या दो अलग परिनियोजनों से।
देखें कि टनल को क्या वापस लाता है
अगर टनल अपने आप फिर शुरू होती है, तो प्रोफ़ाइल में लगभग निश्चित रूप से ऑन-डिमांड नियम है। जो नियम किसी भी इंटरफ़ेस और Connect क्रिया से मेल खाता है, वह टनल को तब शुरू करता है जब Wi-Fi जुड़ता है, जब Mac नींद से जागता है, या जब DNS प्रोब विफल होता है। क्लाइंट ऐसा स्विच नहीं देता जो पेलोड को ओवरराइड करे।
सेवा सूची और प्रति-सेवा कॉन्फ़िगरेशन scutil से आते हैं:
scutil --nc list
scutil --nc show "Corporate VPN"show आउटपुट में OnDemandRules खोजें और हर प्रविष्टि का Action मान पढ़ें। Connect टनल ऊपर उठाता है, Disconnect उसे गिरा देता है, और Ignore मौजूदा स्थिति को वैसा ही छोड़ देता है। जो पहला नियम सब कुछ Connect से मिलाता है, वही आम कारण है कि डिस्कनेक्ट करने के बाद टनल नीचे नहीं रहती।
अगर कनेक्शन scutil --nc list में नहीं है, तो वह सिस्टम VPN सेवा के रूप में इंस्टॉल नहीं है। यह क्लाइंट ऐप के स्वामित्व वाले नेटवर्क एक्सटेंशन की ओर इशारा करता है, जहाँ प्रोफ़ाइल शायद केवल ऐप कॉन्फ़िगरेशन सौंपती है और ऐप खुद तय करता है कि कब कनेक्ट करना है।
तय करें कि हटाना आपका काम है या नहीं
दो तंत्र डिलीट को रोकते हैं। पेलोड PayloadRemovalDisallowed सेट कर सकता है, जो इंटरफ़ेस में प्रोफ़ाइल को हटाने-अयोग्य बना देता है, और Mac पर्यवेक्षण में हो सकता है जिससे प्रबंधन प्रोफ़ाइल हटाना सीधे अस्वीकार हो जाता है। इनमें से कोई बग नहीं है, और मामला थोपने के लिए असंबंधित प्रमाणपत्र या प्रबंधन प्रोफ़ाइल हटाने से आप शुरुआत की तुलना में कहीं बड़ी समस्या के साथ रह जाएँगे।
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
कार्यस्थल के Mac के लिए व्यवस्थापक का सहायता या ऑफ़बोर्डिंग मार्ग सही है। प्रोफ़ाइल पहचानकर्ता साथ ले जाएँ। केवल «VPN प्रोफ़ाइल» कहने वाला टिकट किसी के लिए आपके बताए ऑब्जेक्ट को खोजने के लिए पर्याप्त नहीं है।
मदद माँगने से पहले साक्ष्य जुटाएँ
पाँच बातें लिखें: प्रोफ़ाइल पहचानकर्ता, पेलोड के UUID, sw_vers से macOS संस्करण और बिल्ड, VPN उपप्रकार, और टाइमस्टैम्प के साथ विफलता का सटीक टेक्स्ट। यह भी जोड़ें कि टनल पूरी है या विभाजित और वह कनेक्ट के समय विफल होती है या आंतरिक संसाधन तक पहली पहुँच पर, क्योंकि इन दो विफलताओं के स्वामी अलग हैं।
नेटवर्क एक्सटेंशन विफलता के लिए आम तौर पर एक संकीर्ण लॉग क्वेरी पर्याप्त है:
log show --last 5m --predicate 'process == "nesessionmanager"'पूरी विंडो के बजाय प्रयास के आसपास की पंक्तियाँ लें, और परिणाम कहीं भी पोस्ट करने से पहले सर्वर नाम और प्रमाणपत्र विषय मिटा दें। Apple की परिनियोजन मार्गदर्शिका बताती है कि प्रबंधित VPN पेलोड और ऑन-डिमांड नियम किसलिए बने हैं, और यह स्क्रीनशॉट से बेहतर तर्क है: VPN का अवलोकन.
जब पाँचों जाँचें हो जाएँ, तो ठीक एक बात सच होती है। प्रोफ़ाइल हटाने के लिए आपकी नहीं है, पेलोड डिज़ाइन के अनुसार टनल को फिर जोड़ता है, या क्लाइंट के पास ऐसा कॉन्फ़िगरेशन है जिसे प्रोफ़ाइल ने कभी नियंत्रित नहीं किया। पहचानकर्ता और समयरेखा उस तक ले जाएँ जिसके पास नामांकन है; वह ऐसा टिकट है जिस पर कोई कार्रवाई कर सकता है। फिर से डिलीट दबाना वह नहीं है।