Pārvaldītais Mac VPN profils neizdzēšas? Pārbaudiet šos piecus soļus
Pirms dzēšat pārvaldīto Mac VPN profilu, ar piecām secīgām pārbaudēm noskaidrojiet, kam tas pieder, ko uzspiež lietderīgā slodze un kāpēc dzēšana ir bloķēta.
Jūsu Mac tur VPN profilu, kas atsakās tikt dzēsts, vai arī tas tiek dzēsts un pēc restartēšanas atgriežas. Tas parasti ir pārvaldības jautājums, nevis bojāts klients. Tālākās pārbaudes virzās no īpašumtiesībām uz lietderīgo slodzi un uz atkārtotas savienošanas noteikumiem, un katra var jūs apturēt, pirms pavadāt pēcpusdienu nepareizajā panelī. Veiciet tās secībā; solis, kurā atbilde mainās, ir vieta, kur beidzas jūsu daļa.
Pārliecinieties, ka profils ir pārvaldīts, nevis tikai saglabāts
Atveriet Sistēmas iestatījumus un meklējiet Profili vai Ierīces pārvaldība. Atkarībā no macOS versijas saraksts atrodas sadaļā Privātums un drošība (Profili) vai Vispārīgi (Ierīces pārvaldība). Profilu, kas rāda organizācijas nosaukumu, īsu aprakstu un kuram nav mīnusa pogas, instalējusi organizācija, nevis jūs.
Divas pārbaudes terminālī ātri nosaka īpašumtiesības. Pirmā ziņo par reģistrāciju, otrā uzskaita ierīces profilus:
sudo profiles status -type enrollment
sudo profiles -PJa reģistrācija saka jā un profilu saraksts ir tukšs, neizdariet secinājumu, ka nekas nav instalēts. Pārvaldītos Mac datoros dažas MDM piegādātās lietderīgās slodzes paliek paslēptas no profiles rīka, vienlaikus paliekot aktīvas. Ierīces pārvaldības panelis ir autoritatīvs skats uz to, ko organizācija nosūtījusi, un tukšs komandrindas saraksts reģistrētā Mac datorā ir pretruna, kuru nevajadzētu risināt ar minējumiem.
Lasiet lietderīgo slodzi, nevis displeja nosaukumu
VPN profils ir konteiners, un redzamais nosaukums maz pasaka par to, kas ir iekšā. Viena slodze var saturēt IKEv2 servera adresi, attālo identifikatoru, autentifikācijas metodi un sertifikātu ar savu UUID. Otra slodze tajā pašā profilā var nodrošināt identitātes sertifikātu, kas nepieciešams tunelim, tāpēc Keychain trūkstošais sertifikāts tomēr var atnākt pa to pašu profilu.
Izdrukājiet slodzes un izlasiet svarīgās atslēgas:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Pierakstiet slodžu UUID pirms kaut ko maināt. Tie ir identifikatori, kas administratoram jāatrod precīzais objekts, un tie arī pasaka, vai tunelis un sertifikāts nāk no viena avota vai no divām dažādām ieviešanām.
Vērojiet, kas atgriež tuneli
Ja tunelis pats pārstartējas, profils gandrīz noteikti satur noteikumu pēc pieprasījuma. Noteikums, kas atbilst jebkurai saskarnei un darbībai Connect, palaiž tuneli, kad savienojas Wi-Fi, kad Mac pamostas no miega vai kad neizdodas DNS pārbaude. Klients nepiedāvā slēdzi, kas atceltu slodzi.
Pakalpojumu saraksts un katra pakalpojuma konfigurācija nāk no scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Izvadē show atrodiet OnDemandRules un izlasiet katras vienības Action vērtību. Connect paceļ tuneli, Disconnect to nogāž, un Ignore atstāj pašreizējo stāvokli nemainīgu. Pirmais noteikums, kas atbilst visam ar Connect, ir ierastais iemesls, kāpēc tunelis nepaliek lejā pēc atvienošanas.
Ja savienojuma nav scutil --nc list sarakstā, tas nav instalēts kā sistēmas VPN pakalpojums. Tas norāda uz tīkla paplašinājumu, kas pieder klienta lietotnei, kur profils varbūt nodod tikai lietotnes konfigurāciju, un lietotne pati izlemj, kad savienoties.
Izlemiet, vai dzēšana ir jūsu darbs
Dzēšanu bloķē divi mehānismi. Slodze var iestatīt PayloadRemovalDisallowed, kas padara profilu saskarnē nenoņemamu, un Mac var būt uzraudzībā tā, ka pārvaldības profila noņemšana tiek atteikta tieši. Neviens nav kļūda, un nesaistītu sertifikātu vai pārvaldības profila dzēšana, lai piespiestu lietu, atstāj jūs ar daudz lielāku problēmu nekā to, ar ko sākāt.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Darba Mac datoram pareizais ceļš ir administratora atbalsts vai iziešanas kārtība. Paņemiet līdzi profila identifikatoru. Biļete, kurā rakstīts tikai „VPN profils”, nevienam nepalīdzēs atrast jūsu domāto objektu.
Savāciet pierādījumus pirms palīdzības lūgšanas
Pierakstiet piecas lietas: profila identifikatoru, slodžu UUID, macOS versiju un build no sw_vers, VPN apakštipu un precīzu kļūdas tekstu ar laika zīmogu. Pievienojiet, vai tunelis ir pilns vai sadalīts un vai tas neizdodas savienojoties vai pirmajā piekļuvē iekšējam resursam, jo šīm divām kļūmēm ir dažādi īpašnieki.
Tīkla paplašinājuma kļūmei parasti pietiek ar vienu šauru žurnāla vaicājumu:
log show --last 5m --predicate 'process == "nesessionmanager"'Paņemiet rindas ap mēģinājumu, nevis visu logu, un pirms rezultāta publicēšanas kaut kur aizklājiet serveru nosaukumus un sertifikātu subjektus. Apple ieviešanas rokasgrāmata izskaidro, kam domātas pārvaldītās VPN slodzes un noteikumi pēc pieprasījuma, un tas ir labāks arguments par ekrānuzņēmumu: VPN pārskats.
Kad visas piecas pārbaudes ir veiktas, precīzi viens no trim ir patiess. Profils nav jūsu, lai to noņemtu, slodze pēc projekta atkal savieno tuneli, vai klients tur konfigurāciju, ko profils nekad nav kontrolējis. Aiznesiet identifikatorus un laika skalu tam, kam pieder reģistrācija; tā ir biļete, pēc kuras kāds var rīkoties. Vēlreiz spiest dzēst nav.