Il profilo VPN gestito del Mac non si elimina? Controllate questi cinque passi
Prima di eliminare un profilo VPN gestito del Mac, accertate chi lo possiede, cosa impone il payload e perché la rimozione è bloccata, con cinque controlli ordinati.
Il vostro Mac conserva un profilo VPN che rifiuta di essere eliminato, oppure si elimina e ricompare dopo il riavvio. Di solito è una questione di gestione, non un client corrotto. I controlli seguenti vanno dalla proprietà al payload fino alle regole di riconnessione, e ciascuno può fermarvi prima che passiate un pomeriggio nel pannello sbagliato. Fateli in ordine; il passo in cui la risposta cambia è dove finisce la vostra parte.
Verificate che il profilo sia gestito, non solo salvato
Aprite Impostazioni di Sistema e cercate Profili o Gestione dispositivi. A seconda della versione di macOS, l’elenco si trova in Privacy e sicurezza (Profili) oppure in Generali (Gestione dispositivi). Un profilo che mostra il nome di un’organizzazione, una breve descrizione e nessun pulsante meno è stato installato dall’organizzazione, non aggiunto da voi.
Due controlli al terminale risolvono subito la proprietà. Il primo riporta l’iscrizione, il secondo elenca i profili del dispositivo:
sudo profiles status -type enrollment
sudo profiles -PSe l’iscrizione dice sì e l’elenco dei profili è vuoto, non concludete che non ci sia nulla di installato. Sui Mac gestiti alcuni payload forniti da MDM restano nascosti allo strumento profiles pur rimanendo attivi. Il pannello Gestione dispositivi è la vista autorevole di ciò che l’organizzazione ha inviato, e un elenco vuoto da riga di comando su un Mac iscritto è una contraddizione che non dovreste risolvere tirando a indovinare.
Leggete il payload, non il nome visualizzato
Un profilo VPN è un contenitore, e il nome visibile dice poco di ciò che contiene. Un payload può portare l’indirizzo del server IKEv2, l’identificatore remoto, il metodo di autenticazione e un certificato con il proprio UUID. Un secondo payload nello stesso profilo può fornire il certificato d’identità che serve al tunnel, ed è per questo che un certificato che sembra mancare nel portachiavi può comunque arrivare attraverso lo stesso profilo.
Riversate i payload e leggete le chiavi che contano:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Annotate gli UUID dei payload prima di cambiare qualsiasi cosa. Sono gli identificatori che servono a un amministratore per individuare l’oggetto esatto, e vi dicono anche se il tunnel e il certificato provengono dalla stessa fonte o da due distribuzioni diverse.
Osservate cosa riporta su il tunnel
Se il tunnel riparte da solo, il profilo contiene quasi certamente una regola su richiesta. Una regola che corrisponde a qualsiasi interfaccia con l’azione Connect avvia il tunnel quando il Wi-Fi si associa, quando il Mac esce dalla sospensione o quando una sonda DNS fallisce. Il client non espone alcun interruttore che annulli il payload.
L’elenco dei servizi e la configurazione per servizio provengono da scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Nell’output di show, trovate OnDemandRules e leggete il valore Action di ogni voce. Connect alza il tunnel, Disconnect lo abbatte e Ignore lascia lo stato attuale com’è. Una prima regola che corrisponde a tutto con Connect è la ragione abituale per cui un tunnel non resta abbassato dopo la disconnessione.
Se la connessione manca in scutil --nc list, non è installata come servizio VPN di sistema. Questo indica un’estensione di rete di proprietà di un’app client, dove il profilo forse consegna solo la configurazione dell’app e l’app stessa decide quando connettersi.
Decidete se la rimozione spetta a voi
Due meccanismi bloccano la cancellazione. Il payload può impostare PayloadRemovalDisallowed, che rende il profilo non rimovibile nell’interfaccia, e il Mac può essere supervisionato così che la rimozione del profilo di gestione venga rifiutata di netto. Nessuno dei due è un bug, ed eliminare certificati non correlati o il profilo di gestione per forzare la situazione vi lascia con un problema molto più grande di quello con cui avete iniziato.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Per un Mac di lavoro, la via corretta è l’assistenza o l’uscita tramite l’amministratore. Portate con voi l’identificatore del profilo. Un ticket che dice solo «il profilo VPN» non basta a nessuno per trovare l’oggetto che intendete.
Raccogliete le prove prima di chiedere aiuto
Annotate cinque cose: l’identificatore del profilo, gli UUID dei payload, la versione e la build di macOS da sw_vers, il sottotipo VPN e il testo esatto dell’errore con una marca temporale. Aggiungete se il tunnel è completo o diviso e se fallisce alla connessione o al primo accesso a una risorsa interna, perché questi due guasti hanno proprietari diversi.
Per un guasto di un’estensione di rete di solito basta una query di log ristretta:
log show --last 5m --predicate 'process == "nesessionmanager"'Catturate le righe attorno al tentativo invece dell’intera finestra, e oscurate i nomi dei server e i soggetti dei certificati prima di pubblicare il risultato ovunque. La guida alla distribuzione di Apple spiega a cosa servono i payload VPN gestiti e le regole su richiesta, ed è un argomento migliore di uno screenshot: Panoramica di VPN.
Quando tutti e cinque i controlli sono fatti, esattamente una di tre cose è vera. Il profilo non è vostro da rimuovere, il payload riconnette il tunnel per progetto, oppure il client conserva una configurazione che il profilo non ha mai controllato. Portate gli identificatori e la cronologia a chi possiede l’iscrizione; è un ticket su cui qualcuno può agire. Premere di nuovo elimina non lo è.