მართვადი Mac VPN პროფილი არ იშლება? შეამოწმეთ ეს ხუთი ნაბიჯი
სანამ მართვად Mac VPN პროფილს წაშლით, ხუთი თანმიმდევრული შემოწმებით დაადგინეთ, ვის ეკუთვნის ის, რას ავალდებულებს დატვირთვა და რატომ არის წაშლა დაბლოკილი.
თქვენი Mac ინახავს VPN პროფილს, რომელიც უარს ამბობს წაშლაზე, ან იშლება და გადატვირთვის შემდეგ ბრუნდება. ეს ჩვეულებრივ მართვის საკითხია და არა დაზიანებული კლიენტი. ქვემოთ მოცემული შემოწმებები მიდიან საკუთრებიდან დატვირთვამდე და შემდეგ ხელახალი დაკავშირების წესებამდე, და თითოეულს შეუძლია შეგაჩეროთ სანამ არასწორ პანელში ნახევარ დღეს დახარჯავთ. შეასრულეთ ისინი რიგრიგობით; ნაბიჯი, სადაც პასუხი იცვლება, არის ის ადგილი, სადაც თქვენი ნაწილი მთავრდება.
დარწმუნდით, რომ პროფილი მართვადია და არა უბრალოდ შენახული
გახსენით სისტემის პარამეტრები და მოძებნეთ პროფილები ან მოწყობილობის მართვა. macOS-ის ვერსიის მიხედვით სია მდებარეობს კონფიდენციალურობა და უსაფრთხოება (პროფილები) ან ზოგადი (მოწყობილობის მართვა) განყოფილებაში. პროფილი, რომელიც აჩვენებს ორგანიზაციის სახელს, მოკლე აღწერას და არ აქვს მინუსის ღილაკი, ორგანიზაციამ დააყენა და არა თქვენ.
ტერმინალში ორი შემოწმება სწრაფად წყვეტს საკუთრებას. პირველი აცხადებს რეგისტრაციას, მეორე ჩამოთვლის მოწყობილობის პროფილებს:
sudo profiles status -type enrollment
sudo profiles -Pთუ რეგისტრაცია ამბობს კი-ს და პროფილების სია ცარიელია, ნუ დაასკვნით, რომ არაფერი არ არის დაყენებული. მართვად Mac-ებზე MDM-ის მიერ მიწოდებული ზოგიერთი დატვირთვა რჩება დამალული profiles ხელსაწყოსთვის, თუმცა აქტიურია. მოწყობილობის მართვის პანელი ორგანიზაციის მიერ გაგზავნილის ავტორიტეტული ხედია, და რეგისტრირებულ Mac-ზე ცარიელი ბრძანების ხაზის სია წინააღმდეგობაა, რომელიც გამოცნობით არ უნდა გადაწყვიტოთ.
წაიკითხეთ დატვირთვა და არა ნაჩვენები სახელი
VPN პროფილი კონტეინერია და ხილული სახელი ცოტას ამბობს იმაზე, რა არის შიგნით. ერთ დატვირთვას შეიძლება ჰქონდეს IKEv2 სერვერის მისამართი, დისტანციური იდენტიფიკატორი, აუთენტიფიკაციის მეთოდი და სერტიფიკატი საკუთარი UUID-ით. იმავე პროფილში მეორე დატვირთვამ შეიძლება მოგვცეს იდენტობის სერტიფიკატი, რომელიც გვირაბს სჭირდება, და ამიტომ Keychain-ში დაკარგული სერტიფიკატი მაინც იმავე პროფილით შეიძლება მოვიდეს.
ამოიღეთ დატვირთვები და წაიკითხეთ მნიშვნელოვანი გასაღებები:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"ჩაწერეთ დატვირთვების UUID-ები სანამ რაიმეს შეცვლით. ეს არის იდენტიფიკატორები, რომლებიც ადმინისტრატორს სჭირდება ზუსტი ობიექტის საპოვნელად, და ისინი ასევე გეუბნებიან, მოდის გვირაბი და სერტიფიკატი ერთი წყაროდან თუ ორი განსხვავებული განლაგებიდან.
უყურადღებლად ნუ დატოვებთ, რა აბრუნებს გვირაბს
თუ გვირაბი თავისით გადაიტვირთება, პროფილი თითქმის დარწმუნებით შეიცავს მოთხოვნის წესს. წესი, რომელიც ემთხვევა ნებისმიერ ინტერფეისს და Connect მოქმედებას, იწყებს გვირაბს, როცა Wi-Fi უკავშირდება, როცა Mac იღვიძებს ძილიდან ან როცა DNS შემოწმება ვარდება. კლიენტი არ გვთავაზობს გადამრთველს, რომელიც დატვირთვას გააუქმებს.
სერვისების სია და თითოეული სერვისის კონფიგურაცია მოდის scutil-იდან:
scutil --nc list
scutil --nc show "Corporate VPN"show-ის გამოსავალში იპოვეთ OnDemandRules და წაიკითხეთ თითოეული ჩანაწერის Action მნიშვნელობა. Connect აწევს გვირაბს, Disconnect ამსხვრევს მას, ხოლო Ignore მიმდინარე მდგომარეობას უცვლელად ტოვებს. პირველი წესი, რომელიც ყველაფერს ემთხვევა Connect-ით, ჩვეულებრივი მიზეზია, რატომაც გვირაბი გათიშვის შემდეგ დაბლა არ რჩება.
თუ კავშირი არ არის scutil --nc list-ში, ის არ არის დაყენებული სისტემურ VPN სერვისად. ეს მიუთითებს კლიენტ აპლიკაციის საკუთრებაში არსებულ ქსელურ გაფართოებაზე, სადაც პროფილმა შეიძლება მხოლოდ აპლიკაციის კონფიგურაცია გადასცეს და თავად აპლიკაციამ გადაწყვიტოს, როდის დაუკავშირდეს.
გადაწყვიტეთ, თქვენი საქმეა თუ არა წაშლა
ორი მექანიზმი ბლოკავს წაშლას. დატვირთვამ შეიძლება დააყენოს PayloadRemovalDisallowed, რაც პროფილს ინტერფეისში მოუხსნელს ხდის, და Mac შეიძლება იყოს ზედამხედველობის ქვეშ ისე, რომ მართვის პროფილის წაშლა პირდაპირ უარით დასრულდეს. არც ერთი არ არის შეცდომა, და საკითხის ძალით გადაწყვეტისთვის უკავშირო სერტიფიკატების ან მართვის პროფილის წაშლა გტოვებთ გაცილებით დიდ პრობლემასთან, ვიდრე ის, რითაც დაიწყეთ.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
სამუშაო Mac-ისთვის სწორი გზა ადმინისტრატორის მხარდაჭერა ან გასვლის პროცედურაა. თან წაიღეთ პროფილის იდენტიფიკატორი. დოკუმენტი, რომელშიც მხოლოდ „VPN პროფილი“ წერია, საკმარისი არ არის, რომ ვინმემ იპოვოს თქვენ მიერ ნაგულისხმევი ობიექტი.
შეაგროვეთ მტკიცებულებები სანამ დახმარებას ითხოვთ
ჩაწერეთ ხუთი რამ: პროფილის იდენტიფიკატორი, დატვირთვების UUID-ები, macOS-ის ვერსია და build sw_vers-იდან, VPN-ის ქვეტიპი და ჩავარდნის ზუსტი ტექსტი დროის ნიშნით. დაამატეთ, გვირაბი სრულია თუ გაყოფილი და ვარდება თუ არა დაკავშირებისას თუ შიდა რესურსზე პირველი წვდომისას, რადგან ამ ორ ჩავარდნას სხვადასხვა მფლობელი ჰყავს.
ქსელური გაფართოების ჩავარდნისთვის ჩვეულებრივ საკმარისია ერთი ვიწრო ჟურნალის მოთხოვნა:
log show --last 5m --predicate 'process == "nesessionmanager"'აიღეთ მცდელობის გარშემო ხაზები და არა მთელი ფანჯარა, და დაფარეთ სერვერების სახელები და სერტიფიკატების სუბიექტები სანამ შედეგს სადმე გამოაქვეყნებთ. Apple-ის განლაგების სახელმძღვანელო ხსნის, რისთვისაა განკუთვნილი მართვადი VPN დატვირთვები და მოთხოვნის წესები, და ეს უკეთესი არგუმენტია, ვიდრე ეკრანის სურათი: VPN-ის მიმოხილვა.
როცა ხუთივე შემოწმება დასრულებულია, ზუსტად ერთია სამიდან მართალი. პროფილი თქვენი არ არის წასაშლელად, დატვირთვა დიზაინით ხელახლა აკავშირებს გვირაბს, ან კლიენტი ინახავს კონფიგურაციას, რომელსაც პროფილი არასოდეს მართავდა. წაიღეთ იდენტიფიკატორები და ქრონოლოგია მასთან, ვისაც რეგისტრაცია ეკუთვნის; ეს არის მოთხოვნა, რომელზეც ვინმეს შეუძლია იმოქმედოს. კიდევ ერთხელ წაშლის დაჭერა ასეთი არ არის.