관리형 Mac VPN 프로파일이 삭제되지 않습니까? 이 다섯 단계를 확인하세요
관리형 Mac VPN 프로파일을 삭제하기 전에 소유자가 누구인지, 페이로드가 무엇을 강제하는지, 삭제가 왜 차단되는지를 다섯 가지 순서 있는 점검으로 확인하십시오.
Mac에 삭제를 거부하는 VPN 프로파일이 남아 있거나, 삭제된 뒤 재시동 후 다시 나타납니다. 이것은 보통 관리 문제이지 손상된 클라이언트가 아닙니다. 아래 점검은 소유권에서 페이로드로, 다시 연결 규칙으로 넘어가며, 각 단계는 잘못된 패널에서 반나절을 보내기 전에 여러분을 멈출 수 있습니다. 순서대로 진행하십시오. 답이 바뀌는 단계가 여러분의 몫이 끝나는 지점입니다.
프로파일이 단순히 저장된 것이 아니라 관리되는지 확인하십시오
시스템 설정을 열고 프로파일 또는 기기 관리를 검색하십시오. macOS 버전에 따라 목록은 개인정보 보호 및 보안(프로파일) 또는 일반(기기 관리) 아래에 있습니다. 조직 이름과 짧은 설명을 표시하고 마이너스 버튼이 없는 프로파일은 여러분이 추가한 것이 아니라 조직이 설치한 것입니다.
터미널에서 두 가지 점검으로 소유권이 빠르게 정리됩니다. 첫 번째는 등록 상태를 보고하고, 두 번째는 기기 프로파일을 나열합니다.
sudo profiles status -type enrollment
sudo profiles -P등록이 예라고 하고 프로파일 목록이 비어 있다고 해서 아무것도 설치되지 않았다고 결론 내리지 마십시오. 관리형 Mac에서는 MDM이 전달한 일부 페이로드가 profiles 도구에 숨겨진 채로 계속 활성 상태입니다. 기기 관리 패널이 조직이 배포한 것에 대한 권위 있는 보기이며, 등록된 Mac에서 명령줄 목록이 비어 있는 것은 추측으로 풀어서는 안 될 모순입니다.
표시 이름이 아니라 페이로드를 읽으십시오
VPN 프로파일은 하나의 컨테이너이며, 보이는 이름은 그 안에 무엇이 있는지 거의 말해 주지 않습니다. 하나의 페이로드가 IKEv2 서버 주소, 원격 식별자, 인증 방법, 그리고 자체 UUID를 가진 인증서를 담을 수 있습니다. 같은 프로파일의 두 번째 페이로드가 터널에 필요한 신원 인증서를 제공할 수 있으며, Keychain에서 없는 것처럼 보이는 인증서가 같은 프로파일을 통해 도착할 수 있는 이유가 바로 그것입니다.
페이로드를 덤프하고 중요한 키를 읽으십시오:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"무엇이든 바꾸기 전에 페이로드의 UUID를 기록하십시오. 관리자가 정확한 객체를 찾는 데 필요한 식별자이며, 터널과 인증서가 같은 출처에서 오는지 아니면 서로 다른 두 배포에서 오는지도 알려 줍니다.
무엇이 터널을 다시 불러오는지 지켜보십시오
터널이 스스로 다시 시작된다면 프로파일에는 거의 확실히 온디맨드 규칙이 들어 있습니다. 모든 인터페이스와 Connect 동작에 일치하는 규칙은 Wi-Fi가 연결될 때, Mac이 잠자기에서 깨어날 때, 또는 DNS 프로브가 실패할 때 터널을 시작합니다. 클라이언트에는 페이로드를 무시하는 스위치가 없습니다.
서비스 목록과 서비스별 구성은 scutil에서 나옵니다:
scutil --nc list
scutil --nc show "Corporate VPN"show 출력에서 OnDemandRules를 찾아 각 항목의 Action 값을 읽으십시오. Connect는 터널을 올리고, Disconnect는 내리며, Ignore는 현재 상태를 그대로 둡니다. 모든 것에 Connect로 일치하는 첫 번째 규칙이 연결을 끊은 뒤에도 터널이 내려가지 않는 흔한 이유입니다.
연결이 scutil --nc list에 없다면 시스템 VPN 서비스로 설치되지 않은 것입니다. 이는 클라이언트 앱이 소유한 네트워크 확장을 가리키며, 프로파일은 앱 구성을 넘겨줄 뿐 연결 시점은 앱이 스스로 결정합니다.
삭제가 여러분의 일인지 판단하십시오
두 가지 메커니즘이 삭제를 막습니다. 페이로드가 PayloadRemovalDisallowed를 설정하면 인터페이스에서 프로파일을 제거할 수 없게 되고, Mac이 감독 아래에 있으면 관리 프로파일 제거가 곧바로 거부됩니다. 둘 다 결함이 아니며, 문제를 억지로 풀려고 무관한 인증서나 관리 프로파일을 삭제하면 처음보다 훨씬 큰 문제를 안게 됩니다.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
업무용 Mac이라면 관리자의 지원 또는 오프보딩 절차가 올바른 길입니다. 프로파일 식별자를 함께 가져가십시오. «VPN 프로파일»이라고만 적힌 티켓으로는 아무도 여러분이 말하는 객체를 찾을 수 없습니다.
도움을 요청하기 전에 증거를 모으십시오
다섯 가지를 적으십시오. 프로파일 식별자, 페이로드의 UUID, sw_vers에서 얻은 macOS 버전과 빌드, VPN 하위 유형, 그리고 타임스탬프가 있는 정확한 실패 문구입니다. 터널이 전체인지 분할인지, 연결 시점에 실패하는지 내부 리소스 첫 접근에서 실패하는지도 덧붙이십시오. 이 두 실패는 담당이 다릅니다.
네트워크 확장 실패라면 좁은 로그 조회 하나로 보통 충분합니다:
log show --last 5m --predicate 'process == "nesessionmanager"'창 전체가 아니라 시도 주변의 줄을 가져오고, 결과를 어디에 올리기 전에 서버 이름과 인증서 주체를 가리십시오. Apple의 배포 안내서는 관리형 VPN 페이로드와 온디맨드 규칙이 무엇을 위해 설계되었는지 설명하며, 스크린샷보다 나은 근거입니다: VPN 개요.
다섯 가지 점검이 모두 끝나면 세 가지 중 정확히 하나가 사실입니다. 프로파일이 여러분이 제거할 것이 아니거나, 페이로드가 설계대로 터널을 다시 연결하거나, 클라이언트가 프로파일이 통제한 적 없는 구성을 들고 있는 경우입니다. 식별자와 시간선을 등록을 소유한 사람에게 가져가십시오. 그것이 누군가 조치할 수 있는 티켓입니다. 다시 삭제를 누르는 것은 그렇지 않습니다.