Beheerd Mac VPN-profiel laat zich niet verwijderen? Controleer deze vijf stappen
Controleer voordat u een beheerd Mac VPN-profiel verwijdert wie de eigenaar is, wat de payload afdwingt en waarom verwijdering geblokkeerd is, met vijf geordende controles.
Uw Mac houdt een VPN-profiel vast dat weigert te verdwijnen, of het verdwijnt en komt na een herstart terug. Dat is meestal een beheervraag, geen beschadigde client. De controles hieronder gaan van eigenaarschap naar payload naar regels voor opnieuw verbinden, en elk kan u stoppen voordat u een middag in het verkeerde paneel doorbrengt. Werk ze in volgorde af; de stap waar het antwoord verandert, is waar uw deel eindigt.
Bevestig dat het profiel beheerd is, niet alleen opgeslagen
Open Systeeminstellingen en zoek naar Profielen of Apparaatbeheer. Afhankelijk van de macOS-versie staat de lijst onder Privacy en beveiliging (Profielen) of Algemeen (Apparaatbeheer). Een profiel dat een organisatienaam, een korte beschrijving en geen minknop toont, is door de organisatie geïnstalleerd en niet door u toegevoegd.
Twee controles in de terminal bepalen het eigenaarschap snel. De eerste meldt de inschrijving, de tweede somt de apparaatprofielen op:
sudo profiles status -type enrollment
sudo profiles -PAls de inschrijving ja zegt en de profielenlijst leeg is, concludeer dan niet dat er niets is geïnstalleerd. Op beheerde Macs blijven sommige door MDM geleverde payloads verborgen voor het hulpmiddel profiles terwijl ze actief blijven. Het paneel Apparaatbeheer is de gezaghebbende weergave van wat de organisatie heeft gepusht, en een lege opdrachtregellijst op een ingeschreven Mac is een tegenspraak die u niet door te gissen moet oplossen.
Lees de payload, niet de weergavenaam
Een VPN-profiel is een container, en de zichtbare naam zegt weinig over wat erin zit. Eén payload kan het IKEv2-serveradres, de externe identificatie, de authenticatiemethode en een certificaat met eigen UUID bevatten. Een tweede payload in hetzelfde profiel kan het identiteitscertificaat leveren dat de tunnel nodig heeft, waardoor een certificaat dat in de Sleutelhanger lijkt te ontbreken toch via hetzelfde profiel kan binnenkomen.
Dump de payloads en lees de sleutels die ertoe doen:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Noteer de UUID's van de payloads voordat u iets wijzigt. Het zijn de identificaties die een beheerder nodig heeft om het exacte object te vinden, en ze vertellen u ook of de tunnel en het certificaat uit dezelfde bron of uit twee verschillende uitrollingen komen.
Let op wat de tunnel terugbrengt
Als de tunnel vanzelf opnieuw start, bevat het profiel vrijwel zeker een regel op verzoek. Een regel die op elke interface en de actie Connect past, start de tunnel wanneer Wi-Fi verbindt, wanneer de Mac uit de slaap ontwaakt of wanneer een DNS-test mislukt. De client biedt geen schakelaar die de payload overschrijft.
De lijst met services en de configuratie per service komen van scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Zoek in de show-uitvoer naar OnDemandRules en lees de Action-waarde van elk item. Connect brengt de tunnel omhoog, Disconnect haalt hem neer en Ignore laat de huidige status ongemoeid. Een eerste regel die op alles met Connect past, is de gebruikelijke reden dat een tunnel niet omlaag blijft nadat u hem verbreekt.
Als de verbinding ontbreekt in scutil --nc list, is deze niet als systeem-VPN-service geïnstalleerd. Dat wijst op een netwerkextensie van een client-app, waarbij het profiel misschien alleen de app-configuratie overdraagt en de app zelf bepaalt wanneer er wordt verbonden.
Bepaal of verwijderen uw taak is
Twee mechanismen blokkeren verwijdering. De payload kan PayloadRemovalDisallowed instellen, waardoor het profiel in de interface niet verwijderbaar is, en de Mac kan onder toezicht staan zodat het verwijderen van het beheerprofiel botweg wordt geweigerd. Geen van beide is een bug, en niet-verwante certificaten of het beheerprofiel verwijderen om de zaak te forceren laat u achter met een veel groter probleem dan waarmee u begon.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Voor een werk-Mac is de ondersteunings- of offboardingroute van de beheerder de juiste. Neem de profielidentificatie mee. Een ticket dat alleen „het VPN-profiel” zegt, is voor niemand genoeg om het object te vinden dat u bedoelt.
Verzamel bewijs voordat u om hulp vraagt
Schrijf vijf dingen op: de profielidentificatie, de UUID's van de payloads, de macOS-versie en build uit sw_vers, het VPN-subtype en de exacte fouttekst met een tijdstempel. Voeg toe of de tunnel volledig of gesplitst is en of hij bij het verbinden of bij de eerste toegang tot een interne resource faalt, want die twee fouten hebben verschillende eigenaren.
Voor een fout in een netwerkextensie is één nauwe logquery meestal genoeg:
log show --last 5m --predicate 'process == "nesessionmanager"'Leg de regels rond de poging vast in plaats van het hele venster, en verberg servernamen en certificaatsubjecten voordat u het resultaat ergens plaatst. De uitrolgids van Apple legt uit waarvoor beheerde VPN-payloads en regels op verzoek bedoeld zijn, en dat is een beter argument dan een schermafbeelding: Overzicht van VPN.
Als alle vijf controles gedaan zijn, is precies één van drie dingen waar. Het profiel is niet van u om te verwijderen, de payload verbindt de tunnel ontwerpmatig opnieuw, of de client heeft een configuratie die het profiel nooit heeft beheerd. Neem de identificaties en de tijdlijn mee naar wie de inschrijving bezit; dat is een ticket waar iemand iets mee kan. Opnieuw op verwijderen drukken is dat niet.