Zarządzany profil VPN na Macu nie chce się usunąć? Sprawdź te pięć kroków
Zanim usuniesz zarządzany profil VPN na Macu, ustal, kto jest jego właścicielem, co wymusza ładunek i dlaczego usunięcie jest zablokowane, za pomocą pięciu uporządkowanych kontroli.
Twój Mac trzyma profil VPN, który odmawia usunięcia, albo znika i wraca po ponownym uruchomieniu. To zwykle kwestia zarządzania, a nie uszkodzony klient. Poniższe kontrole przechodzą od własności przez ładunek do reguł ponownego łączenia, a każda może cię zatrzymać, zanim spędzisz popołudnie w niewłaściwym panelu. Wykonuj je po kolei; krok, w którym odpowiedź się zmienia, to miejsce, w którym kończy się twoja część.
Potwierdź, że profil jest zarządzany, a nie tylko zapisany
Otwórz Ustawienia systemowe i wyszukaj Profile lub Zarządzanie urządzeniem. W zależności od wersji macOS lista znajduje się w Prywatność i bezpieczeństwo (Profile) albo Ogólne (Zarządzanie urządzeniem). Profil, który pokazuje nazwę organizacji, krótki opis i nie ma przycisku minus, został zainstalowany przez organizację, a nie dodany przez ciebie.
Dwie kontrole w terminalu szybko rozstrzygają własność. Pierwsza zgłasza rejestrację, druga wylicza profile urządzenia:
sudo profiles status -type enrollment
sudo profiles -PJeśli rejestracja mówi tak, a lista profili jest pusta, nie wyciągaj wniosku, że nic nie jest zainstalowane. Na zarządzanych Macach niektóre ładunki dostarczane przez MDM pozostają ukryte przed narzędziem profiles, choć nadal są aktywne. Panel Zarządzanie urządzeniem jest miarodajnym widokiem tego, co wysłała organizacja, a pusta lista w wierszu poleceń na zarejestrowanym Macu to sprzeczność, której nie należy rozwiązywać zgadywaniem.
Czytaj ładunek, a nie wyświetlaną nazwę
Profil VPN to kontener, a widoczna nazwa niewiele mówi o tym, co jest w środku. Jeden ładunek może zawierać adres serwera IKEv2, zdalny identyfikator, metodę uwierzytelniania i certyfikat z własnym UUID. Drugi ładunek w tym samym profilu może dostarczyć certyfikat tożsamości potrzebny tunelowi, dlatego certyfikat, którego pozornie brakuje w pęku kluczy, może jednak przyjść przez ten sam profil.
Zrzuć ładunki i przeczytaj klucze, które mają znaczenie:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Zapisz UUID ładunków, zanim cokolwiek zmienisz. To identyfikatory, których administrator potrzebuje, aby znaleźć dokładny obiekt, i mówią też, czy tunel i certyfikat pochodzą z tego samego źródła, czy z dwóch różnych wdrożeń.
Obserwuj, co przywraca tunel
Jeśli tunel restartuje się sam, profil prawie na pewno zawiera regułę na żądanie. Reguła pasująca do dowolnego interfejsu i akcji Connect uruchamia tunel, gdy Wi-Fi się łączy, gdy Mac budzi się z uśpienia albo gdy test DNS zawiedzie. Klient nie udostępnia przełącznika, który unieważnia ładunek.
Lista usług i konfiguracja poszczególnych usług pochodzą z scutil:
scutil --nc list
scutil --nc show "Corporate VPN"W wynikach show znajdź OnDemandRules i odczytaj wartość Action każdego wpisu. Connect podnosi tunel, Disconnect go opuszcza, a Ignore pozostawia bieżący stan bez zmian. Pierwsza reguła pasująca do wszystkiego z Connect to zwykły powód, dla którego tunel nie zostaje wyłączony po rozłączeniu.
Jeśli połączenia brakuje w scutil --nc list, nie jest zainstalowane jako systemowa usługa VPN. Wskazuje to na rozszerzenie sieciowe należące do aplikacji klienckiej, gdzie profil może przekazywać tylko konfigurację aplikacji, a sama aplikacja decyduje, kiedy się łączyć.
Zdecyduj, czy usunięcie to twoja sprawa
Dwa mechanizmy blokują usunięcie. Ładunek może ustawić PayloadRemovalDisallowed, co czyni profil nieusuwalnym w interfejsie, a Mac może być nadzorowany tak, że usunięcie profilu zarządzania jest wprost odrzucane. Żaden z nich nie jest błędem, a usuwanie niepowiązanych certyfikatów lub profilu zarządzania, aby wymusić sprawę, zostawia cię z dużo większym problemem niż ten, z którym zaczynałeś.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Dla służbowego Maca właściwa jest ścieżka wsparcia lub odbioru u administratora. Zabierz ze sobą identyfikator profilu. Zgłoszenie, które mówi tylko „profil VPN”, nikomu nie wystarczy, by znaleźć obiekt, o którym myślisz.
Zbierz dowody, zanim poprosisz o pomoc
Zapisz pięć rzeczy: identyfikator profilu, UUID ładunków, wersję i kompilację macOS z sw_vers, podtyp VPN i dokładny tekst błędu ze znacznikiem czasu. Dodaj, czy tunel jest pełny czy dzielony i czy zawodzi przy łączeniu, czy przy pierwszym dostępie do zasobu wewnętrznego, bo te dwa błędy mają różnych właścicieli.
Przy błędzie rozszerzenia sieciowego zwykle wystarczy jedno wąskie zapytanie do dziennika:
log show --last 5m --predicate 'process == "nesessionmanager"'Przechwyć wiersze wokół próby, a nie całe okno, i zaciemnij nazwy serwerów oraz tematy certyfikatów, zanim gdziekolwiek opublikujesz wynik. Przewodnik wdrożeniowy Apple wyjaśnia, do czego służą zarządzane ładunki VPN i reguły na żądanie, i to lepszy argument niż zrzut ekranu: Przegląd VPN.
Gdy wszystkie pięć kontroli jest wykonanych, dokładnie jedna z trzech rzeczy jest prawdziwa. Profil nie jest twój do usunięcia, ładunek z założenia ponownie łączy tunel, albo klient trzyma konfigurację, której profil nigdy nie kontrolował. Zanieś identyfikatory i harmonogram temu, kto posiada rejestrację; to zgłoszenie, na którym ktoś może zadziałać. Ponowne naciśnięcie usuń tym nie jest.