Управуван Mac VPN профил не се брише? Проверете овие пет чекори
Пред да избришете управуван Mac VPN профил, утврдете чиј е, што наложува товарот и зошто отстранувањето е блокирано, со пет подредени проверки.
Вашиот Mac држи VPN профил што одбива да се избрише, или се брише и се враќа по рестартирање. Тоа е обично прашање на управување, не расипан клиент. Проверките подолу одат од сопственост до товар и до правила за повторно поврзување, и секоја може да ве запре пред да потрошите попладне во погрешен панел. Изведете ги по ред; чекорот каде одговорот се менува е местото каде завршува вашиот дел.
Потврдете дека профилот е управуван, не само зачуван
Отворете Системски поставки и побарајте Профили или Управување со уред. Во зависност од верзијата на macOS, списокот е под Приватност и безбедност (Профили) или Општо (Управување со уред). Профил што прикажува име на организација, краток опис и нема копче минус го инсталирала организацијата, а не вие.
Две проверки во терминалот брзо го решаваат сопственоштвото. Првата известува за запишување, втората ги наведува профилите на уредот:
sudo profiles status -type enrollment
sudo profiles -PАко запишувањето вели да, а списокот на профили е празен, не заклучувајте дека ништо не е инсталирано. На управувани Mac компјутери некои товари доставени од MDM остануваат скриени од алатката profiles, а сепак активни. Панелот Управување со уред е авторитетниот приказ на тоа што го испратила организацијата, а празен список во командната линија на запишан Mac е противречност што не треба да ја решавате со погодување.
Читајте го товарот, не прикажаното име
VPN профилот е контејнер, и видливото име кажува малку за тоа што има внатре. Еден товар може да ја носи адресата на серверот IKEv2, далечинскиот идентификатор, методот на автентикација и сертификат со свој UUID. Втор товар во истиот профил може да го обезбеди сертификатот за идентитет што му е потребен на тунелот, и затоа сертификат што изгледа дека недостасува во Keychain сепак може да пристигне преку истиот профил.
Исфрлете ги товарите и прочитајте ги клучевите што се важни:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Забележете ги UUID-а на товарите пред да промените нешто. Тоа се идентификаторите што му се потребни на администраторот за да го најде точниот објект, и тие исто така ви кажуваат дали тунелот и сертификатот доаѓаат од ист извор или од две различни распоредувања.
Внимавајте што го враќа тунелот
Ако тунелот сам се рестартира, профилот речиси сигурно содржи правило на барање. Правило што се совпаѓа со кој било интерфејс и дејството Connect го стартува тунелот кога Wi-Fi се поврзува, кога Mac се буди од сон или кога DNS проверката не успева. Клиентот не нуди прекинувач што го надминува товарот.
Списокот на услуги и конфигурацијата по услуга доаѓаат од scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Во излезот од show пронајдете OnDemandRules и прочитајте ја вредноста Action на секој запис. Connect го крева тунелот, Disconnect го урива, а Ignore ја остава тековната состојба непроменета. Првото правило што се совпаѓа со сите и со Connect е вообичаената причина зошто тунелот не останува долу откако ќе го исклучите.
Ако врската недостасува во scutil --nc list, таа не е инсталирана како системска VPN услуга. Тоа упатува на мрежно проширување во сопственост на клиентска апликација, каде профилот можеби само ја предава конфигурацијата на апликацијата, а самата апликација одлучува кога да се поврзе.
Одлучете дали отстранувањето е ваша работа
Два механизми го блокираат бришењето. Товарот може да постави PayloadRemovalDisallowed, што го прави профилот неотстранлив во интерфејсот, а Mac може да биде под надзор така што отстранувањето на профилот за управување се одбива директно. Ниту едно не е грешка, а бришењето на неповрзани сертификати или на профилот за управување за да се наложи работата ве остава со многу поголем проблем од оној со кој започнавте.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
За работен Mac, правилниот пат е поддршката или отписот кај администраторот. Понесете го идентификаторот на профилот. Тикет во кој пишува само „VPN профилот“ не е доволен за никого да го најде објектот што го мислите.
Соберете докази пред да побарате помош
Запишете пет работи: идентификаторот на профилот, UUID-а на товарите, верзијата и build-от на macOS од sw_vers, подтипот на VPN и точниот текст на грешката со временска ознака. Додадете дали тунелот е целосен или поделен и дали не успева при поврзување или при прв пристап до внатрешен ресурс, бидејќи овие две грешки имаат различни сопственици.
За грешка во мрежно проширување обично е доволно едно тесно барање во дневникот:
log show --last 5m --predicate 'process == "nesessionmanager"'Зафатете ги линиите околу обидот наместо целиот прозорец, и заматете ги имињата на серверите и субјектите на сертификатите пред да го објавите резултатот каде било. Водичот за распоредување на Apple објаснува за што се наменети управуваните VPN товари и правилата на барање, и тоа е подобар аргумент од слика од екранот: Преглед на VPN.
Кога сите пет проверки се завршени, точно едно од три работи е точно. Профилот не е ваш за отстранување, товарот повторно го поврзува тунелот по дизајн, или клиентот држи конфигурација што профилот никогаш не ја контролирал. Однесете ги идентификаторите и временската линија кај тој што го поседува запишувањето; тоа е тикет по кој некој може да постапи. Повторно притискање на delete не е.