Administrert Mac VPN-profil lar seg ikke slette? Sjekk disse fem trinnene
Før du sletter en administrert Mac VPN-profil, må du bekrefte hvem som eier den, hva nyttelasten håndhever og hvorfor fjerning er blokkert, med fem kontroller i rekkefølge.
Macen din har en VPN-profil som nekter å bli slettet, eller den slettes og kommer tilbake etter en omstart. Dette er vanligvis et administrasjonsspørsmål, ikke en ødelagt klient. Kontrollene nedenfor går fra eierskap til nyttelast til regler for gjenoppkobling, og hver av dem kan stoppe deg før du bruker en ettermiddag i feil panel. Gjør dem i rekkefølge; trinnet der svaret endrer seg, er der din del slutter.
Bekreft at profilen er administrert, ikke bare lagret
Åpne Systeminnstillinger og søk etter Profiler eller Enhetsadministrasjon. Avhengig av macOS-versjonen ligger listen under Personvern og sikkerhet (Profiler) eller Generelt (Enhetsadministrasjon). En profil som viser et organisasjonsnavn, en kort beskrivelse og ingen minusknapp, er installert av organisasjonen og ikke lagt til av deg.
To kontroller i terminalen avgjør eierskapet raskt. Den første rapporterer registrering, den andre lister opp enhetsprofiler:
sudo profiles status -type enrollment
sudo profiles -PHvis registreringen sier ja og profillisten er tom, må du ikke konkludere med at ingenting er installert. På administrerte Macer forblir noen MDM-leverte nyttelaster skjult for verktøyet profiles mens de fortsatt er aktive. Enhetsadministrasjonspanelet er den autoritative visningen av det organisasjonen har sendt ut, og en tom kommandolinjeliste på en registrert Mac er en motsetning du ikke bør løse ved å gjette.
Les nyttelasten, ikke visningsnavnet
En VPN-profil er en beholder, og det synlige navnet sier lite om hva som er inni. En nyttelast kan bære IKEv2-serveradressen, den eksterne identifikatoren, autentiseringsmetoden og et sertifikat med egen UUID. En annen nyttelast i samme profil kan levere identitetssertifikatet tunnelen trenger, og derfor kan et sertifikat som ser ut til å mangle i Keychain likevel komme gjennom samme profil.
Dump nyttelastene og les nøklene som betyr noe:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Noter UUID-ene til nyttelastene før du endrer noe. De er identifikatorene en administrator trenger for å finne det nøyaktige objektet, og de forteller deg også om tunnelen og sertifikatet kommer fra samme kilde eller fra to ulike utrullinger.
Følg med på hva som bringer tunnelen tilbake
Hvis tunnelen starter på nytt av seg selv, inneholder profilen nesten helt sikkert en regel på forespørsel. En regel som passer med et hvilket som helst grensesnitt og handlingen Connect, starter tunnelen når Wi-Fi kobles til, når Macen våkner fra dvale, eller når en DNS-test mislykkes. Klienten tilbyr ikke en bryter som overstyrer nyttelasten.
Tjenestelisten og konfigurasjonen per tjeneste kommer fra scutil:
scutil --nc list
scutil --nc show "Corporate VPN"I show-utdataene finner du OnDemandRules og leser Action-verdien for hver oppføring. Connect reiser tunnelen, Disconnect river den ned, og Ignore lar den nåværende tilstanden være. En første regel som passer med alt og har Connect, er den vanlige grunnen til at en tunnel ikke blir liggende nede etter at du kobler fra.
Hvis tilkoblingen mangler i scutil --nc list, er den ikke installert som en system-VPN-tjeneste. Det peker på en nettverksutvidelse som eies av en klientapp, der profilen kanskje bare overleverer appkonfigurasjonen og appen selv bestemmer når den skal koble til.
Avgjør om fjerning er din oppgave
To mekanismer blokkerer sletting. Nyttelasten kan sette PayloadRemovalDisallowed, som gjør profilen ikke-fjernbar i grensesnittet, og Macen kan være under tilsyn slik at fjerning av administrasjonsprofilen avvises blankt. Ingen av dem er en feil, og å slette urelaterte sertifikater eller administrasjonsprofilen for å tvinge saken gjennom, etterlater deg med et mye større problem enn det du begynte med.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
For en arbeids-Mac er administratorens støtte- eller offboardingvei den riktige. Ta med deg profilens identifikator. En sak som bare sier «VPN-profilen», er ikke nok for noen til å finne objektet du mener.
Samle bevis før du ber om hjelp
Skriv ned fem ting: profilens identifikator, UUID-ene til nyttelastene, macOS-versjon og build fra sw_vers, VPN-undervejstypen og den nøyaktige feilteksten med tidsstempel. Legg til om tunnelen er full eller delt, og om den feiler ved tilkobling eller ved første tilgang til en intern ressurs, siden disse to feilene har forskjellige eiere.
For en feil i en nettverksutvidelse er én smal loggforespørsel vanligvis nok:
log show --last 5m --predicate 'process == "nesessionmanager"'Ta linjene rundt forsøket i stedet for hele vinduet, og sladd servernavn og sertifikatsubjekter før du publiserer resultatet noe sted. Apples utrullingsveiledning forklarer hva administrerte VPN-nyttelaster og regler på forespørsel er ment å gjøre, og det er et bedre argument enn et skjermbilde: Oversikt over VPN.
Når alle fem kontrollene er gjort, er nøyaktig én av tre ting sann. Profilen er ikke din å fjerne, nyttelasten kobler tunnelen til på nytt etter design, eller klienten har en konfigurasjon som profilen aldri kontrollerte. Ta identifikatorene og tidslinjen med til den som eier registreringen; det er en sak noen kan handle på. Å trykke slette igjen er det ikke.