Կառավարվող Mac VPN պրոֆիլը չի ջնջվում? Ստուգեք այս հինգ քայլերը
Նախքան կառավարվող Mac VPN պրոֆիլը ջնջելը, հինգ հերթական ստուգումներով պարզեք, թե ով է դրա սեփականատերը, ինչ է պարտադրում բեռը և ինչու է հեռացումն արգելափակված։
Ձեր Mac-ը պահում է VPN պրոֆիլ, որը հրաժարվում է ջնջվել, կամ ջնջվում է ու վերադառնում վերագործարկումից հետո։ Սա սովորաբար կառավարման հարց է, ոչ թե վնասված հաճախորդ։ Ստորև բերված ստուգումները գնում են սեփականությունից դեպի բեռ և ապա վերամիացման կանոններ, և յուրաքանչյուրը կարող է կանգնեցնել ձեզ նախքան սխալ վահանակում կես օր անցկացնելը։ Կատարեք դրանք հերթով. այն քայլը, որտեղ պատասխանը փոխվում է, այնտեղ է, որտեղ ավարտվում է ձեր մասը։
Համոզվեք, որ պրոֆիլը կառավարվող է, ոչ միայն պահված
Բացեք Համակարգի կարգավորումները և փնտրեք Պրոֆիլներ կամ Սարքի կառավարում։ Կախված macOS տարբերակից՝ ցանկը գտնվում է Գաղտնիություն և անվտանգություն (Պրոֆիլներ) կամ Ընդհանուր (Սարքի կառավարում) բաժնում։ Այն պրոֆիլը, որը ցույց է տալիս կազմակերպության անուն, կարճ նկարագրություն և չունի մինուս կոճակ, տեղադրել է կազմակերպությունը, ոչ թե դուք։
Տերմինալում երկու ստուգում արագ լուծում է սեփականության հարցը։ Առաջինը հաղորդում է գրանցման մասին, երկրորդը թվարկում է սարքի պրոֆիլները.
sudo profiles status -type enrollment
sudo profiles -PԵթե գրանցումը ասում է այո, իսկ պրոֆիլների ցանկը դատարկ է, մի եզրակացրեք, որ ոչինչ տեղադրված չէ։ Կառավարվող Mac-երում MDM-ի միջոցով ուղարկված որոշ բեռներ մնում են թաքնված profiles գործիքից՝ միաժամանակ ակտիվ մնալով։ Սարքի կառավարման վահանակը կազմակերպության ուղարկածի հեղինակավոր տեսքն է, և գրանցված Mac-ում դատարկ հրամանի տողի ցանկը հակասություն է, որը չպետք է լուծել գուշակությամբ։
Կարդացեք բեռը, ոչ թե ցուցադրվող անվանումը
VPN պրոֆիլը տարա է, և տեսանելի անվանումը քիչ է ասում, թե ինչ կա ներսում։ Մեկ բեռը կարող է կրել IKEv2 սերվերի հասցեն, հեռավոր նույնացուցիչը, նույնականացման եղանակը և սեփական UUID-ով վկայագիր։ Նույն պրոֆիլի երկրորդ բեռը կարող է տրամադրել այն ինքնության վկայագիրը, որն անհրաժեշտ է թունելին, և այդ պատճառով Keychain-ում կորած թվացող վկայագիրը կարող է այնուամենայնիվ գալ նույն պրոֆիլով։
Արտահանեք բեռները և կարդացեք կարևոր բանալիները.
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Գրանցեք բեռների UUID-ները նախքան որևէ բան փոխելը։ Դրանք այն նույնացուցիչներն են, որոնք ադմինիստրատորին պետք են ճշգրիտ օբյեկտը գտնելու համար, և նաև ասում են՝ թունելն ու վկայագիրը գալիս են նույն աղբյուրի՞ց, թե՞ երկու տարբեր տեղաբաշխումներից։
Ուշադրություն դարձրեք, թե ինչն է վերադարձնում թունելը
Եթե թունելը ինքնուրույն վերագործարկվում է, պրոֆիլը գրեթե անկասկած պարունակում է պահանջով կանոն։ Կանոնը, որը համընկնում է ցանկացած միջերեսի և Connect գործողության հետ, մեկնարկում է թունելը, երբ Wi-Fi-ը միանում է, երբ Mac-ը արթնանում է քնից կամ երբ DNS փորձարկումը ձախողվում է։ Հաճախորդը չի առաջարկում անջատիչ, որը վերացնում է բեռը։
Ծառայությունների ցանկը և յուրաքանչյուր ծառայության կարգավորումը գալիս են scutil-ից.
scutil --nc list
scutil --nc show "Corporate VPN"show արտածման մեջ գտեք OnDemandRules-ը և կարդացեք յուրաքանչյուր գրառման Action արժեքը։ Connect-ը բարձրացնում է թունելը, Disconnect-ը քանդում է այն, իսկ Ignore-ը թողնում է ընթացիկ վիճակը անփոփոխ։ Առաջին կանոնը, որը համընկնում է ամեն ինչի հետ Connect-ով, սովորական պատճառն է, թե ինչու թունելը չի մնում իջեցված անջատելուց հետո։
Եթե կապը բացակայում է scutil --nc list-ում, այն տեղադրված չէ որպես համակարգային VPN ծառայություն։ Սա մատնանշում է հաճախորդ հավելվածին պատկանող ցանցային ընդլայնում, որտեղ պրոֆիլը գուցե միայն փոխանցում է հավելվածի կարգավորումը, և հավելվածն ինքն է որոշում, թե երբ միանալ։
Որոշեք՝ հեռացումը ձեր գործն է
Երկու մեխանիզմ արգելափակում են ջնջումը։ Բեռը կարող է սահմանել PayloadRemovalDisallowed, ինչը պրոֆիլը դարձնում է չհեռացվող միջերեսում, և Mac-ը կարող է գտնվել հսկողության տակ, այնպես որ կառավարման պրոֆիլի հեռացումը մերժվում է ուղղակիորեն։ Ոչ մեկը սխալ չէ, և անկապ վկայագրերի կամ կառավարման պրոֆիլի ջնջումը՝ հարցը ուժով լուծելու համար, ձեզ թողնում է շատ ավելի մեծ խնդրի հետ, քան այն, որով սկսել էիք։
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Աշխատանքային Mac-ի համար ճիշտ ուղին ադմինիստրատորի աջակցության կամ դուրսգրման ընթացակարգն է։ Ձեզ հետ վերցրեք պրոֆիլի նույնացուցիչը։ Դիմումը, որտեղ գրված է միայն «VPN պրոֆիլ», բավարար չէ, որպեսզի որևէ մեկը գտնի ձեր նկատի ունեցած օբյեկտը։
Հավաքեք ապացույցներ նախքան օգնություն խնդրելը
Գրեք հինգ բան՝ պրոֆիլի նույնացուցիչը, բեռների UUID-ները, macOS-ի տարբերակը և build-ը sw_vers-ից, VPN ենթատեսակը և ձախողման ճշգրիտ տեքստը ժամանակի դրոշմով։ Ավելացրեք՝ թունելը լրիվ է, թե բաժանված, և արդյոք այն ձախողվում է միանալիս, թե ներքին ռեսուրսի առաջին մուտքի պահին, որովհետև այս երկու ձախողումներն ունեն տարբեր սեփականատերեր։
Ցանցային ընդլայնման ձախողման համար սովորաբար բավական է մեկ նեղ մատյանի հարցում.
log show --last 5m --predicate 'process == "nesessionmanager"'Վերցրեք փորձի շուրջ տողերը, ոչ թե ամբողջ պատուհանը, և թաքցրեք սերվերների անուններն ու վկայագրերի սուբյեկտները նախքան արդյունքը որևէ տեղ հրապարակելը։ Apple-ի տեղաբաշխման ուղեցույցը բացատրում է, թե ինչի համար են նախատեսված կառավարվող VPN բեռներն ու պահանջով կանոնները, և դա ավելի լավ փաստարկ է, քան էկրանի նկարը. VPN ակնարկ.
Երբ բոլոր հինգ ստուգումներն արված են, ճիշտ է երեքից մեկը։ Պրոֆիլը ձերը չէ հեռացնելու համար, բեռը նախագծով վերամիացնում է թունելը, կամ հաճախորդը պահում է կարգավորում, որը պրոֆիլը երբեք չի կառավարել։ Տարեք նույնացուցիչներն ու ժամանակագրությունը նրան, ով տիրապետում է գրանցմանը. դա դիմում է, որի վրա ինչ-որ մեկը կարող է գործել։ Կրկին ջնջել սեղմելը այդպիսին չէ։