Profilul VPN administrat al Mac-ului nu se șterge? Verificați acești cinci pași

Mac-ul dumneavoastră păstrează un profil VPN care refuză să fie șters, sau se șterge și revine după o repornire. De obicei este o chestiune de administrare, nu un client defect. Verificările de mai jos merg de la proprietate la încărcătură și apoi la regulile de reconectare, iar fiecare vă poate opri înainte de a petrece o după-amiază în panoul greșit. Efectuați-le în ordine; pasul în care răspunsul se schimbă este locul unde se termină partea dumneavoastră.

Confirmați că profilul este administrat, nu doar salvat

Deschideți Configurări de sistem și căutați Profile sau Administrarea dispozitivului. În funcție de versiunea macOS, lista se află sub Confidențialitate și securitate (Profile) sau General (Administrarea dispozitivului). Un profil care afișează numele unei organizații, o scurtă descriere și niciun buton minus a fost instalat de organizație, nu adăugat de dumneavoastră.

Două verificări în terminal rezolvă rapid proprietatea. Prima raportează înregistrarea, a doua listează profilele dispozitivului:

sudo profiles status -type enrollment
sudo profiles -P

Dacă înregistrarea spune da și lista de profile este goală, nu concluzionați că nu este instalat nimic. Pe Mac-urile administrate, unele încărcături livrate de MDM rămân ascunse de instrumentul profiles, deși rămân active. Panoul Administrarea dispozitivului este vizualizarea autoritară a ceea ce a trimis organizația, iar o listă goală în linia de comandă pe un Mac înregistrat este o contradicție pe care nu ar trebui să o rezolvați ghicind.

Citiți încărcătura, nu numele afișat

Un profil VPN este un container, iar numele vizibil spune puțin despre ce este înăuntru. O încărcătură poate purta adresa serverului IKEv2, identificatorul la distanță, metoda de autentificare și un certificat cu propriul UUID. O a doua încărcătură din același profil poate furniza certificatul de identitate de care are nevoie tunelul, motiv pentru care un certificat care pare lipsă din Keychain poate totuși să sosească prin același profil.

Scoateți încărcăturile și citiți cheile care contează:

sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"

Notați UUID-urile încărcăturilor înainte de a schimba ceva. Acestea sunt identificatorii de care are nevoie un administrator pentru a găsi obiectul exact, și vă spun și dacă tunelul și certificatul provin din aceeași sursă sau din două implementări diferite.

Urmăriți ce aduce tunelul înapoi

Dacă tunelul repornește de la sine, profilul conține aproape sigur o regulă la cerere. O regulă care se potrivește cu orice interfață și acțiunea Connect pornește tunelul când Wi-Fi se asociază, când Mac-ul iese din repaus sau când o sondă DNS eșuează. Clientul nu expune niciun comutator care să anuleze încărcătura.

Lista serviciilor și configurația pe serviciu provin din scutil:

scutil --nc list
scutil --nc show "Corporate VPN"

În ieșirea show, găsiți OnDemandRules și citiți valoarea Action a fiecărei intrări. Connect ridică tunelul, Disconnect îl doboară, iar Ignore lasă starea actuală așa cum este. O primă regulă care se potrivește cu tot și are Connect este motivul obișnuit pentru care un tunel nu rămâne coborât după deconectare.

Dacă conexiunea lipsește din scutil --nc list, nu este instalată ca serviciu VPN de sistem. Asta indică o extensie de rețea deținută de o aplicație client, unde profilul poate doar preda configurația aplicației, iar aplicația decide singură când să se conecteze.

Decideți dacă eliminarea vă revine

Două mecanisme blochează ștergerea. Încărcătura poate stabili PayloadRemovalDisallowed, ceea ce face profilul neremovibil în interfață, iar Mac-ul poate fi supravegheat astfel încât eliminarea profilului de administrare este refuzată direct. Niciunul nu este un defect, iar ștergerea unor certificate fără legătură sau a profilului de administrare pentru a forța situația vă lasă cu o problemă mult mai mare decât cea cu care ați început.

Pentru un Mac de lucru, calea corectă este asistența sau ieșirea prin administrator. Luați cu dumneavoastră identificatorul profilului. Un tichet care spune doar „profilul VPN” nu este suficient pentru ca cineva să găsească obiectul la care vă referiți.

Adunați dovezi înainte de a cere ajutor

Notați cinci lucruri: identificatorul profilului, UUID-urile încărcăturilor, versiunea și build-ul macOS din sw_vers, subtipul VPN și textul exact al eșecului cu marcă temporală. Adăugați dacă tunelul este complet sau divizat și dacă eșuează la conectare sau la primul acces la o resursă internă, pentru că aceste două eșecuri au proprietari diferiți.

Pentru un eșec al extensiei de rețea, de obicei este suficientă o interogare îngustă a jurnalului:

log show --last 5m --predicate 'process == "nesessionmanager"'

Capturați liniile din jurul încercării, nu întreaga fereastră, și mascați numele serverelor și subiectele certificatelor înainte de a publica rezultatul oriunde. Ghidul de implementare al Apple explică pentru ce sunt concepute încărcăturile VPN administrate și regulile la cerere, și este un argument mai bun decât o captură de ecran: Prezentare generală VPN.

Când toate cele cinci verificări sunt făcute, exact unul dintre trei lucruri este adevărat. Profilul nu este al dumneavoastră de eliminat, încărcătura reconectează tunelul prin proiectare, sau clientul păstrează o configurație pe care profilul nu a controlat-o niciodată. Duceți identificatorii și cronologia la cel care deține înregistrarea; acesta este un tichet pe care cineva poate acționa. A apăsa din nou șterge nu este.