Hogyan távolítsunk el VPN-konfigurációt Macen, és mi marad utána

A VPN eltávolítása a macOS-en egyetlen műveletnek látszik, valójában legalább négy. A Rendszerbeállítások gombja egy hálózati szolgáltatást töröl a rendszer konfigurációs tárolójából. Nem törli az ügyfélalkalmazást, a telepített hálózati kiterjesztést, a kulcskarikádban ülő hitelesítő adatot, sem az eszközkezelés által küldött profilt. Annak ismerete, melyik objektum birtokolja az egyes tüneteket, az, ami megakadályozza, hogy az eltávolított VPN csendben visszatérjen.

Mit töröl valójában a Konfiguráció eltávolítása gomb

Minden hozzáadott VPN hálózati szolgáltatássá válik, ugyanolyan objektummá, mint a Wi-Fi vagy a Thunderbolt Bridge. A macOS mindet itt tartja: /Library/Preferences/SystemConfiguration/preferences.plist, mindegyiknek szolgáltatásazonosítója, megjelenített neve és egy konfigurációs szótára van, amely leírja az alagút típusát, a kiszolgáló címét és azt, hogyan indul az alagút.

Amikor megnyitod a Rendszerbeállításokat és a VPN-t, rákattintasz egy szolgáltatás melletti információs gombra, kiválasztod a Konfiguráció eltávolítása lehetőséget és megerősíted, a macOS leállítja az alagutat, törli azt a szolgáltatásobjektumot és újraírja a tárolót. A lebontás teljes mindarra, ami a rendszer birtokában van: a szolgáltatás eltűnt a listáról, és semmi sem indítja el bejelentkezéskor.

Amit a gomb nem érhet el, az minden, ami egy másik alrendszer birtokában van. Az alkalmazáscsomag itt található: /Applications. A NetworkExtension ügyfél rendszerkiterjesztésként fut, amely a konfigurációjától külön van regisztrálva. A hitelesítő adatok kulcskarikaelemek, azzal a kulcskarikával, amelyik tartja őket, és annak hozzáférés-vezérlésével. A konfigurációs profil a profilrendszer birtoka. Távolítsd el a szolgáltatást, és mind a négy pontosan ott marad, ahol volt.

Listázd, mit hisz a Mac még telepítettnek

Készíts leltárt, mielőtt bármit törölsz. Három parancs fedi le azt a három réteget, amely ugyanazt a látható hibát okozza:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list a VPN-konfigurációk mérvadó nézete, kapcsolati állapottal, szolgáltatásnévvel és szolgáltatásazonosítóval. Gyakran olyan bejegyzéseket mutat, amelyek soha nem jelennek meg a beállítások listáján: egy hónapokkal ezelőtt eltávolított ügyfél maradék szolgáltatásai és csendben induló igény szerinti konfigurációk. networksetup -listallnetworkservices a hálózati szolgáltatásokat a parancssori eszközök által várt nevekkel mutatja, és erre van szükséged a név szerinti eltávolításhoz. profiles -P listázza a telepített konfigurációs profilokat; egy kezelt Macen a VPN talán nem is az általad hozzáadott szolgáltatás, hanem egy hasznos teher valamelyik profilban.

Olvasd a listákat együtt, ahelyett hogy az elsőben bíznál. Egy szolgáltatás a scutil listában, de nem a beállításokban általában azt jelenti, hogy egy harmadik féltől származó ügyfél birtokolja az alagutat, és a saját ablakában mutatja. Egy szolgáltatás mindkét nézetben, amely a beállításokban szürke, szabályzatot jelent. Egy név, amely törlés után újra megjelenik, azt jelenti, hogy valami újra létrehozza, és az a valami az igazi cél.

Távolítsd el a szolgáltatást a tulajdonosán keresztül

Az általad hozzáadott szolgáltatásnál maradj a dokumentált úton: Rendszerbeállítások, VPN, információs gomb, Konfiguráció eltávolítása. Az Apple dokumentálja ezt az utat, és az konzisztensen tartja a konfigurációs tárolót. A kézi szerkesztés preferences.plist mialatt a hálózati verem fut, az az út, amelyen duplikált vagy zombi szolgáltatásokat kapsz, amelyeket semmilyen felület nem távolít el.

Terminálból távolítsd el a szolgáltatást név szerint ezzel: networksetup -removenetworkservice "Service Name", majd erősítsd meg ezzel: scutil --nc list. A parancs ugyanarra a szolgáltatáslistára hat, mint a felület, ezért egy név, amely nem jelenik meg a networksetup -listallnetworkservices listában, egyik úton sem tűnik el. Ha egy ügyfél birtokolja az alagutat, először annak az ügyfélnek az eltávolítási vagy eltávolítási útját használd, mert az ügyfél a következő indításkor újraépíti a szolgáltatást.

Ha a VPN eszközkezelésből jött, nem te vagy a tulajdonos. Az MDM által telepített profilok nem eltávolíthatóként jelölhetők meg, és még egy eltávolítható is újraküldhető a következő ellenőrzéskor. Erősítsd meg ezzel: profiles -P, majd használd a szervezeted kilépési folyamatát. A hasznos teher helyi törlése vagy sikertelen, vagy újratelepítést vált ki.

A maradékok, amelyek szolgáltatás nélkül újracsatlakoznak

A szokásos «visszajött» jelentés nem a szolgáltatás visszatérése, hanem az őt birtokló kiterjesztésé. Listázd a regisztrált rendszerkiterjesztéseket és a hálózatikiterjesztés-típusú alkalmazáskiterjesztéseket:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

A NetworkExtension ügyfél a saját azonosítója alatt tartja telepítve az alagútszolgáltatóját, minden konfigurációtól külön. A kiterjesztés aktív maradhat, miután a konfiguráció elment, és az ügyfél menüsor-ügynöke friss konfigurációt hozhat létre a következő indításkor, néha újrahasználva az épp törölt nevet. Ellenőrizd a bejelentkezési elemeket és a gyártó segédjét itt: /Library/LaunchDaemons mielőtt arra jutsz, hogy az eltávolítás sikertelen volt.

A hitelesítő adatok a második maradék. A bejelentkezési kulcskarikában mentett jelszó vagy ügyféltanúsítvány nem törlődik a szolgáltatással, az IPSec közös titka pedig történelmileg a rendszerkulcskarikában él, ezért az eltávolítás és újratelepítés néha kihagyja a jelszókérést. Ha a Mac kikerül az irányításodból, keresd meg az elemet szolgáltatásnév szerint a Keychain Accessben, és vonasd vissza a fiókot, tanúsítványt vagy társ kulcsot, amelyet a mentett hitelesítő adat képvisel. A copied configuration file is a live credential even after local removal.

Ellenőrizd az eltávolítást, és olvasd helyesen a visszatérő profilt

Az eltávolítás akkor kész, ha a szolgáltatás mindkét nézetből eltűnt, és újraindítás után is eltűnt marad. Ellenőrizd a scutil --nc list kimenetében a szolgáltatásazonosítót, erősítsd meg, hogy a névfeloldás a várt feloldót használja ezzel: scutil --dns, majd indítsd újra egyszer, mert az igény szerinti szabályok és a bejelentkezési ügynökök az a két dolog, amelyek csak friss indításkor mutatkoznak meg.

Ha még mindig ott van, ne törölj több objektumot. Derítsd ki, melyik réteg hozta létre újra: egy MDM-profil újraküldi a szolgáltatást, egy ügyfélügynök újraépíti, vagy a szolgáltatást soha nem távolították el, mert a név nem egyezett. Ez a válasz dönti el, hogy a gyártó eltávolítója, az IT-csapatod vagy ugyanazon eltávolítási párbeszéd újabb köre kell-e. Az Apple eltávolítási útmutatója az általad hozzáadott szolgáltatások támogatott útját fedi le; a maradékok az a rész, amelyet neked kell ellenőrizned: remove a VPN configuration.