Upravljani Mac VPN profil se ne briše? Provjerite ovih pet koraka
Prije nego izbrišete upravljani Mac VPN profil, potvrdite ko ga posjeduje, šta payload nameće i zašto je uklanjanje blokirano, kroz pet provjera po redu.
Vaš Mac drži VPN profil koji odbija da se izbriše, ili se izbriše pa se vrati nakon restarta. To je obično pitanje upravljanja, a ne pokvaren klijent. Provjere ispod idu od vlasništva do payloada do pravila ponovnog povezivanja, i svaka vas može zaustaviti prije nego potrošite popodne u pogrešnom panelu. Radite ih po redu; korak na kojem se odgovor mijenja je mjesto gdje vaš dio prestaje.
Potvrdite da je profil upravljan, a ne samo sačuvan
Otvorite Sistemske postavke i potražite Profili ili Upravljanje uređajem. Ovisno o verziji macOS-a, lista se nalazi pod Privatnost i sigurnost (Profili) ili Opšte (Upravljanje uređajem). Profil koji prikazuje naziv organizacije, kratak opis i nema dugme minus instalirala je organizacija, a ne vi.
Dvije provjere u terminalu brzo rješavaju vlasništvo. Prva izvještava o upisu, druga listi profile uređaja:
sudo profiles status -type enrollment
sudo profiles -PAko upis kaže da, a lista profila je prazna, nemojte zaključiti da ništa nije instalirano. Na upravljanim Macovima neki payloadi koje dostavlja MDM ostaju skriveni od alata profiles, a ipak su aktivni. Panel Upravljanje uređajem je mjerodavan prikaz onoga što je organizacija poslala, a prazan spisak u komandnoj liniji na upisanom Macu je proturječnost koju ne treba rješavati nagađanjem.
Čitajte payload, a ne prikazano ime
VPN profil je kontejner, a vidljivo ime malo govori o tome šta je unutra. Jedan payload može nositi adresu IKEv2 servera, udaljeni identifikator, metodu autentifikacije i certifikat sa vlastitim UUID-om. Drugi payload u istom profilu može dati identitetski certifikat koji tunel traži, zato certifikat koji izgleda da nedostaje u Keychainu ipak može doći kroz isti profil.
Izlistajte payloade i pročitajte ključeve koji su važni:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Zapišite UUID-ove payloada prije nego što bilo šta promijenite. To su identifikatori koji administratoru trebaju da pronađe tačan objekat, i govore vam dolaze li tunel i certifikat iz istog izvora ili iz dva različita uvođenja.
Pratite šta vraća tunel
Ako se tunel sam restartuje, profil gotovo sigurno sadrži pravilo na zahtjev. Pravilo koje se poklapa sa bilo kojim interfejsom i radnjom Connect pokreće tunel kada se Wi-Fi poveže, kada se Mac probudi iz sna ili kada DNS provjera ne uspije. Klijent ne nudi prekidač koji nadjačava payload.
Lista servisa i konfiguracija po servisu dolaze iz scutil:
scutil --nc list
scutil --nc show "Corporate VPN"U izlazu show pronađite OnDemandRules i pročitajte vrijednost Action svakog unosa. Connect podiže tunel, Disconnect ga ruši, a Ignore ostavlja trenutno stanje nepromijenjenim. Prvo pravilo koje se poklapa sa svime i ima Connect uobičajen je razlog zašto tunel ne ostaje isključen nakon što ga prekinete.
Ako veza nedostaje u scutil --nc list, nije instalirana kao sistemski VPN servis. To upućuje na mrežno proširenje koje posjeduje klijentska aplikacija, gdje profil možda samo predaje konfiguraciju aplikacije, a aplikacija sama odlučuje kada će se povezati.
Odlučite je li uklanjanje vaš posao
Dva mehanizma blokiraju brisanje. Payload može postaviti PayloadRemovalDisallowed, što profil čini neuklonjivim u interfejsu, a Mac može biti pod nadzorom tako da se uklanjanje upravljačkog profila odbija bez ostatka. Ni jedno nije bug, a brisanje nepovezanih certifikata ili upravljačkog profila da se stvar prisili ostavlja vas sa mnogo većim problemom od onog s kojim ste počeli.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Za poslovni Mac ispravan je put podrške ili odjave kod administratora. Ponesite identifikator profila sa sobom. Tiket u kojem piše samo „VPN profil” nije dovoljan da bilo ko pronađe objekat koji imate na umu.
Prikupite dokaze prije nego što zatražite pomoć
Zapišite pet stvari: identifikator profila, UUID-ove payloada, verziju i build macOS-a iz sw_vers, podtip VPN-a i tačan tekst greške sa vremenskom oznakom. Dodajte je li tunel pun ili razdvojen i pada li pri povezivanju ili pri prvom pristupu unutrašnjem resursu, jer ta dva kvara imaju različite vlasnike.
Za kvar mrežnog proširenja obično je dovoljan jedan uzak upit u dnevnik:
log show --last 5m --predicate 'process == "nesessionmanager"'Zahvatite redove oko pokušaja, a ne cijeli prozor, i uklonite imena servera i subjekte certifikata prije nego rezultat objavite bilo gdje. Appleov vodič za uvođenje objašnjava čemu služe upravljani VPN payloadi i pravila na zahtjev, i to je bolji argument od snimka ekrana: Pregled VPN-a.
Kada je svih pet provjera obavljeno, tačno jedna od tri stvari je istinita. Profil nije vaš za uklanjanje, payload po dizajnu ponovno povezuje tunel, ili klijent drži konfiguraciju koju profil nikada nije kontrolisao. Odnesite identifikatore i vremensku liniju onome ko posjeduje upis; to je tiket po kojem neko može postupiti. Ponovno pritiskanje delete nije.