Nem törölhető a felügyelt Mac VPN-profil? Ellenőrizze ezt az öt lépést
Mielőtt töröl egy felügyelt Mac VPN-profilt, erősítse meg, kié, mit kényszerít a hasznos teher, és miért blokkolt az eltávolítás, öt sorrendben végzett ellenőrzéssel.
A Macén marad egy VPN-profil, amely nem hajlandó törlődni, vagy törlődik és újraindítás után visszatér. Ez általában felügyeleti kérdés, nem hibás kliens. Az alábbi ellenőrzések a tulajdonjogtól a hasznos teheren át az újracsatlakozási szabályokig haladnak, és mindegyik megállíthatja, mielőtt egy délutánt a rossz panelen töltene. Végezze el őket sorrendben; az a lépés, ahol a válasz megváltozik, az a pont, ahol a maga része véget ér.
Erősítse meg, hogy a profil felügyelt, nem csak mentett
Nyissa meg a Rendszerbeállításokat, és keressen rá a Profilok vagy az Eszközkezelés elemre. A macOS verziójától függően a lista az Adatvédelem és biztonság (Profilok) vagy az Általános (Eszközkezelés) alatt található. Az a profil, amely szervezetnevet, rövid leírást mutat, és nincs mínusz gombja, a szervezet által telepített, nem Ön adta hozzá.
Két terminál-ellenőrzés gyorsan tisztázza a tulajdonjogot. Az első a regisztrációt jelenti, a második felsorolja az eszköz profiljait:
sudo profiles status -type enrollment
sudo profiles -PHa a regisztráció igent mond, és a profilok listája üres, ne vonja le azt a következtetést, hogy nincs semmi telepítve. A felügyelt Maceken egyes MDM által küldött hasznos terhek rejtve maradnak a profiles eszköz elől, miközben aktívak. Az Eszközkezelés panel a szervezet által kiküldött dolgok mérvadó nézete, és az üres parancssori lista egy regisztrált Macen olyan ellentmondás, amelyet nem tanácsos találgatással feloldani.
A hasznos terhet olvassa, ne a megjelenített nevet
A VPN-profil egy konténer, és a látható név keveset mond arról, mi van benne. Egy hasznos teher hordozhatja az IKEv2-kiszolgáló címét, a távoli azonosítót, a hitelesítési módot és egy saját UUID-vel rendelkező tanúsítványt. Egy második teher ugyanabban a profilban szolgáltathatja az alagút által igényelt identitástanúsítványt, ezért a Keychainben hiányzónak tűnő tanúsítvány mégis ugyanazon a profilon keresztül érkezhet.
Öntse ki a hasznos terheket, és olvassa el a fontos kulcsokat:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Jegyezze fel a terhek UUID-jait, mielőtt bármit módosítana. Ezek azok az azonosítók, amelyekre egy rendszergazdának a pontos objektum megtalálásához szüksége van, és azt is megmondják, hogy az alagút és a tanúsítvány ugyanabból a forrásból vagy két különböző telepítésből származik.
Figyelje, mi hozza vissza az alagutat
Ha az alagút magától újraindul, a profil szinte biztosan tartalmaz egy igény szerinti szabályt. Az a szabály, amely bármely interfészre és a Connect műveletre illeszkedik, elindítja az alagutat, amikor a Wi-Fi csatlakozik, amikor a Mac felébred az alvásból, vagy amikor egy DNS-próba meghiúsul. A kliens nem kínál olyan kapcsolót, amely felülírná a terhet.
A szolgáltatáslista és a szolgáltatásonkénti konfiguráció a scutilból származik:
scutil --nc list
scutil --nc show "Corporate VPN"A show kimenetében keresse meg az OnDemandRules elemet, és olvassa el az egyes bejegyzések Action értékét. A Connect felemeli az alagutat, a Disconnect lerombolja, az Ignore pedig változatlanul hagyja a jelenlegi állapotot. Az első szabály, amely mindenre illeszkedik Connecttel, a szokásos oka annak, hogy az alagút nem marad lent a leválasztás után.
Ha a kapcsolat hiányzik a scutil --nc list listáról, nincs rendszer-VPN-szolgáltatásként telepítve. Ez egy kliensalkalmazás tulajdonában lévő hálózati kiterjesztésre utal, ahol a profil talán csak az alkalmazás konfigurációját adja át, és maga az alkalmazás dönti el, mikor csatlakozik.
Döntse el, az eltávolítás az Ön dolga-e
Két mechanizmus blokkolja a törlést. A teher beállíthatja a PayloadRemovalDisallowed értéket, amely a profilt eltávolíthatatlanná teszi a felületen, és a Mac felügyelet alatt állhat úgy, hogy a felügyeleti profil eltávolítása egyenesen megtagadott. Egyik sem hiba, és a nem kapcsolódó tanúsítványok vagy a felügyeleti profil törlése az ügy kierőszakolásához sokkal nagyobb problémával hagyja magát, mint amellyel elkezdte.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Egy munkahelyi Mac esetében a rendszergazda támogatási vagy kiléptetési útvonala a helyes. Vigye magával a profil azonosítóját. Az a jegy, amely csak annyit mond, hogy „a VPN-profil”, senkinek nem elég ahhoz, hogy megtalálja a keresett objektumot.
Gyűjtsön bizonyítékot, mielőtt segítséget kér
Írjon le öt dolgot: a profil azonosítóját, a terhek UUID-jait, a macOS verzióját és buildjét a sw_versből, a VPN altípusát, és a hiba pontos szövegét időbélyeggel. Tegye hozzá, hogy az alagút teljes vagy osztott-e, és hogy csatlakozáskor vagy egy belső erőforrás első elérésekor hibázik-e, mert ennek a két hibának különböző a gazdája.
Hálózati kiterjesztés hibájához általában elég egy szűk naplólekérdezés:
log show --last 5m --predicate 'process == "nesessionmanager"'A kísérlet körüli sorokat rögzítse a teljes ablak helyett, és tüntesse el a kiszolgálóneveket és a tanúsítvány-tulajdonosokat, mielőtt bárhol közzéteszi az eredményt. Az Apple telepítési útmutatója elmagyarázza, mire valók a felügyelt VPN-terhek és az igény szerinti szabályok, és ez jobb érv egy képernyőfotónál: VPN áttekintés.
Amikor mind az öt ellenőrzés kész, pontosan egy dolog igaz a háromból. A profil nem az Öné, hogy eltávolítsa, a teher tervezés szerint újracsatlakoztatja az alagutat, vagy a kliens olyan konfigurációt tart, amelyet a profil soha nem vezérelt. Vigye az azonosítókat és az idővonalat ahhoz, aki a regisztrációt birtokolja; ez olyan jegy, amelyre valaki cselekedhet. A törlés ismételt megnyomása nem az.