Valdomas „Mac“ VPN profilis neištrinamas? Patikrinkite šiuos penkis veiksmus
Prieš ištrindami valdomą „Mac“ VPN profilį, penkiais nuosekliais patikrinimais nustatykite, kam jis priklauso, ką primeta turinys ir kodėl šalinimas blokuojamas.
Jūsų „Mac“ laiko VPN profilį, kuris atsisako būti ištrintas, arba jis ištrinamas ir grįžta po pakartotinio paleidimo. Tai paprastai valdymo klausimas, o ne sugadintas klientas. Toliau pateikti patikrinimai eina nuo nuosavybės prie turinio ir prie pakartotinio prisijungimo taisyklių, ir kiekvienas gali jus sustabdyti prieš praleidžiant popietę netinkamame skydelyje. Atlikite juos iš eilės; žingsnis, kuriame atsakymas pasikeičia, yra vieta, kur baigiasi jūsų dalis.
Įsitikinkite, kad profilis valdomas, o ne tik išsaugotas
Atidarykite sistemos nustatymus ir ieškokite „Profiliai“ arba „Įrenginio valdymas“. Priklausomai nuo macOS versijos sąrašas yra skiltyje „Privatumas ir sauga“ (Profiliai) arba „Bendra“ (Įrenginio valdymas). Profilis, kuriame rodomas organizacijos pavadinimas, trumpas aprašymas ir nėra minuso mygtuko, buvo įdiegtas organizacijos, o ne jūsų pridėtas.
Du patikrinimai terminale greitai išsprendžia nuosavybę. Pirmasis praneša apie registraciją, antrasis išvardija įrenginio profilius:
sudo profiles status -type enrollment
sudo profiles -PJei registracija sako taip, o profilių sąrašas tuščias, nedarykite išvados, kad nieko neįdiegta. Valdomuose „Mac“ įrenginiuose kai kurie MDM pristatyti turiniai lieka paslėpti nuo profiles įrankio, nors ir lieka aktyvūs. Įrenginio valdymo skydelis yra autoritetingas vaizdas to, ką išsiuntė organizacija, o tuščias komandinės eilutės sąrašas registruotame „Mac“ yra prieštaravimas, kurio neturėtumėte spręsti spėliodami.
Skaitykite turinį, o ne rodomą pavadinimą
VPN profilis yra konteineris, o matomas pavadinimas mažai ką pasako apie tai, kas yra viduje. Vienas turinys gali turėti IKEv2 serverio adresą, nuotolinį identifikatorių, autentifikavimo metodą ir sertifikatą su savo UUID. Antras turinys tame pačiame profilyje gali suteikti tapatybės sertifikatą, kurio reikia tuneliui, todėl „Keychain“ trūkstamas sertifikatas vis tiek gali atkeliauti per tą patį profilį.
Iškelkite turinį ir perskaitykite svarbius raktus:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Užsirašykite turinio UUID prieš ką nors keisdami. Tai identifikatoriai, kurių administratoriui reikia norint rasti tikslų objektą, ir jie taip pat pasako, ar tunelis ir sertifikatas kilę iš to paties šaltinio, ar iš dviejų skirtingų diegimų.
Stebėkite, kas grąžina tunelį
Jei tunelis pats paleidžiamas iš naujo, profilyje beveik neabejotinai yra taisyklė pagal pareikalavimą. Taisyklė, atitinkanti bet kurią sąsają ir veiksmą Connect, paleidžia tunelį, kai prisijungia Wi-Fi, kai „Mac“ pabunda iš miego arba kai nepavyksta DNS patikra. Klientas neteikia jungiklio, kuris panaikintų turinį.
Paslaugų sąrašas ir kiekvienos paslaugos konfigūracija gaunami iš scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Išvestyje show raskite OnDemandRules ir perskaitykite kiekvieno įrašo Action reikšmę. Connect pakelia tunelį, Disconnect jį nugriauna, o Ignore palieka dabartinę būseną nepakeistą. Pirmoji taisyklė, atitinkanti viską su Connect, yra įprasta priežastis, kodėl tunelis nelieka išjungtas po atjungimo.
Jei ryšio nėra scutil --nc list sąraše, jis neįdiegtas kaip sisteminė VPN paslauga. Tai rodo tinklo plėtinį, priklausantį kliento programai, kur profilis galbūt perduoda tik programos konfigūraciją, o programa pati nusprendžia, kada jungtis.
Nuspręskite, ar šalinimas yra jūsų darbas
Ištrynimą blokuoja du mechanizmai. Turinys gali nustatyti PayloadRemovalDisallowed, todėl profilis sąsajoje tampa nepašalinamas, o „Mac“ gali būti prižiūrimas taip, kad valdymo profilio šalinimas atmetamas tiesiogiai. Nė vienas nėra klaida, o nesusijusių sertifikatų ar valdymo profilio trynimas bandant priversti situaciją palieka jus su daug didesne problema nei ta, su kuria pradėjote.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Darbiniam „Mac“ teisingas kelias yra administratoriaus palaikymas arba išėjimo procedūra. Pasiimkite profilio identifikatorių. Bilietas, kuriame parašyta tik „VPN profilis“, niekam nepadės rasti jūsų turimo objekto.
Surinkite įrodymus prieš prašydami pagalbos
Užrašykite penkis dalykus: profilio identifikatorių, turinio UUID, macOS versiją ir build iš sw_vers, VPN potipį ir tikslų gedimo tekstą su laiko žyma. Pridurkite, ar tunelis pilnas, ar skaidytas, ir ar jis nepavyksta jungiantis, ar pirmą kartą pasiekiant vidinį išteklių, nes šie du gedimai turi skirtingus savininkus.
Tinklo plėtinio gedimui paprastai pakanka vienos siauros žurnalo užklausos:
log show --last 5m --predicate 'process == "nesessionmanager"'Paimkite eilutes aplink bandymą, o ne visą langą, ir prieš kur nors skelbdami rezultatą užtušuokite serverių pavadinimus ir sertifikatų subjektus. „Apple“ diegimo vadovas paaiškina, kam skirti valdomi VPN turiniai ir taisyklės pagal pareikalavimą, ir tai geresnis argumentas nei ekrano kopija: VPN apžvalga.
Kai visi penki patikrinimai atlikti, tiksliai vienas iš trijų dalykų yra teisingas. Profilis ne jūsų, kad jį šalintumėte, turinys pagal projektą iš naujo prijungia tunelį, arba klientas laiko konfigūraciją, kurios profilis niekada nekontroliavo. Nuneškite identifikatorius ir laiko juostą tam, kam priklauso registracija; tai bilietas, dėl kurio kažkas gali imtis veiksmų. Dar kartą spausti „delete“ nėra.