Upravljani Mac VPN profil ne briše se? Provjerite ovih pet koraka
Prije nego izbrišete upravljani Mac VPN profil, potvrdite kome pripada, što payload nameće i zašto je uklanjanje blokirano, kroz pet provjera po redu.
Vaš Mac drži VPN profil koji odbija biti izbrisan ili se briše pa vraća nakon ponovnog pokretanja. To je obično pitanje upravljanja, a ne pokvaren klijent. Provjere u nastavku idu od vlasništva do payloada do pravila ponovnog povezivanja i svaka vas može zaustaviti prije nego provedete poslijepodne u pogrešnom oknu. Radite ih redom; korak u kojem se odgovor mijenja mjesto je gdje vaš dio prestaje.
Potvrdite da je profil upravljan, a ne samo spremljen
Otvorite Postavke sustava i potražite Profili ili Upravljanje uređajem. Ovisno o verziji macOS-a, popis se nalazi pod Privatnost i sigurnost (Profili) ili Općenito (Upravljanje uređajem). Profil koji prikazuje naziv organizacije, kratak opis i nema gumb minus instalirala je organizacija, a ne vi.
Dvije provjere u terminalu brzo rješavaju vlasništvo. Prva izvješćuje o upisu, druga ispisuje profile uređaja:
sudo profiles status -type enrollment
sudo profiles -PAko upis kaže da, a popis profila je prazan, nemojte zaključiti da ništa nije instalirano. Na upravljanim Macovima neki payloadi koje dostavlja MDM ostaju skriveni od alata profiles, a ipak su aktivni. Okno Upravljanje uređajem mjerodavan je prikaz onoga što je organizacija poslala, a prazan popis u naredbenom retku na upisanom Macu proturječje je koje ne treba rješavati nagađanjem.
Čitajte payload, a ne prikazano ime
VPN profil je spremnik, a vidljivo ime malo govori o tome što je unutra. Jedan payload može nositi adresu IKEv2 poslužitelja, udaljeni identifikator, metodu autentikacije i certifikat s vlastitim UUID-om. Drugi payload u istom profilu može dati identitetski certifikat koji tunel treba, zato certifikat koji izgleda da nedostaje u Keychainu ipak može stići kroz isti profil.
Ispišite payloade i pročitajte ključeve koji su važni:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Zapišite UUID-ove payloada prije nego što išta promijenite. To su identifikatori koji administratoru trebaju za pronalaženje točnog objekta, i govore vam dolaze li tunel i certifikat iz istog izvora ili iz dva različita uvođenja.
Pratite što vraća tunel
Ako se tunel sam ponovno pokrene, profil gotovo sigurno sadrži pravilo na zahtjev. Pravilo koje odgovara bilo kojem sučelju i radnji Connect pokreće tunel kada se Wi-Fi poveže, kada se Mac probudi iz sna ili kada DNS provjera ne uspije. Klijent ne nudi prekidač koji nadjačava payload.
Popis usluga i konfiguracija po usluzi dolaze iz scutil:
scutil --nc list
scutil --nc show "Corporate VPN"U izlazu show pronađite OnDemandRules i pročitajte vrijednost Action svakog unosa. Connect podiže tunel, Disconnect ga ruši, a Ignore ostavlja trenutno stanje nepromijenjenim. Prvo pravilo koje odgovara svemu i ima Connect uobičajen je razlog zašto tunel ne ostaje isključen nakon što ga prekinete.
Ako veza nedostaje u scutil --nc list, nije instalirana kao sistemska VPN usluga. To upućuje na mrežno proširenje u vlasništvu klijentske aplikacije, gdje profil možda samo predaje konfiguraciju aplikacije, a aplikacija sama odlučuje kada će se povezati.
Odlučite je li uklanjanje vaš posao
Dva mehanizma blokiraju brisanje. Payload može postaviti PayloadRemovalDisallowed, što profil čini neuklonjivim u sučelju, a Mac može biti pod nadzorom tako da se uklanjanje upravljačkog profila odbija bez ostatka. Ni jedno nije bug, a brisanje nepovezanih certifikata ili upravljačkog profila da se stvar prisili ostavlja vas s mnogo većim problemom od onoga s kojim ste počeli.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Za poslovni Mac ispravan je put podrške ili odjave kod administratora. Ponesite identifikator profila sa sobom. Tiket u kojem piše samo „VPN profil” nije dovoljan da bilo tko pronađe objekt koji imate na umu.
Prikupite dokaze prije nego što zatražite pomoć
Zapišite pet stvari: identifikator profila, UUID-ove payloada, verziju i build macOS-a iz sw_vers, podtip VPN-a i točan tekst greške s vremenskom oznakom. Dodajte je li tunel pun ili razdvojen i pada li pri povezivanju ili pri prvom pristupu unutarnjem resursu, jer ta dva kvara imaju različite vlasnike.
Za kvar mrežnog proširenja obično je dovoljan jedan uzak upit u dnevnik:
log show --last 5m --predicate 'process == "nesessionmanager"'Zahvatite retke oko pokušaja, a ne cijeli prozor, i uklonite imena poslužitelja i subjekte certifikata prije nego rezultat objavite bilo gdje. Appleov vodič za uvođenje objašnjava čemu služe upravljani VPN payloadi i pravila na zahtjev, i to je bolji argument od snimke zaslona: Pregled VPN-a.
Kada je svih pet provjera obavljeno, točno jedna od tri stvari je istinita. Profil nije vaš za uklanjanje, payload po dizajnu ponovno povezuje tunel, ili klijent drži konfiguraciju koju profil nikada nije kontrolirao. Odnesite identifikatore i vremensku crtu onome tko posjeduje upis; to je tiket po kojem netko može postupiti. Ponovno pritiskanje delete nije.