Spravovaný profil VPN na Macu sa neodstraňuje? Skontrolujte týchto päť krokov
Pred odstránením spravovaného profilu VPN na Macu overte, komu patrí, čo dátová záťaž vynucuje a prečo je odstránenie blokované, pomocou piatich krokov v poradí.
Váš Mac drží profil VPN, ktorý sa odmieta vymazať, alebo sa vymaže a po reštarte sa vráti. Zvyčajne je to otázka správy, nie poškodený klient. Nasledujúce kontroly idú od vlastníctva k dátovej záťaži a k pravidlám opätovného pripojenia a každá vás môže zastaviť skôr, než strávite popoludnie v nesprávnom paneli. Robte ich v poradí; krok, v ktorom sa odpoveď zmení, je miesto, kde vaša časť končí.
Overte, že profil je spravovaný, nielen uložený
Otvorte Nastavenia systému a nájdite Profily alebo Správu zariadenia. Podľa verzie macOS je zoznam v Súkromie a bezpečnosť (Profily) alebo vo Všeobecné (Správa zariadenia). Profil, ktorý zobrazuje názov organizácie, krátky opis a nemá tlačidlo mínus, nainštalovala organizácia, nie vy.
Dve kontroly v termináli rýchlo vyriešia vlastníctvo. Prvá hlási zápis, druhá vypisuje profily zariadenia:
sudo profiles status -type enrollment
sudo profiles -PAk zápis hovorí áno a zoznam profilov je prázdny, neuzatvárajte, že nič nie je nainštalované. Na spravovaných Macoch zostávajú niektoré záťaže doručené MDM skryté pred nástrojom profiles, hoci sú aktívne. Panel Správa zariadenia je autoritatívny pohľad na to, čo organizácia odoslala, a prázdny výpis z príkazového riadka na zapísanom Macu je rozpor, ktorý by ste nemali riešiť hádaním.
Čítajte dátovú záťaž, nie zobrazovaný názov
Profil VPN je kontajner a viditeľný názov hovorí málo o tom, čo je vnútri. Jedna záťaž môže niesť adresu servera IKEv2, vzdialený identifikátor, metódu overovania a certifikát s vlastným UUID. Druhá záťaž v tom istom profile môže dodať identitný certifikát, ktorý tunel potrebuje, a preto certifikát, ktorý v Keychain vyzerá ako chýbajúci, môže napriek tomu prísť tým istým profilom.
Vypíšte záťaže a prečítajte kľúče, na ktorých záleží:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Pred akoukoľvek zmenou si zapíšte UUID záťaží. Sú to identifikátory, ktoré správca potrebuje na nájdenie presného objektu, a tiež hovoria, či tunel a certifikát pochádzajú z rovnakého zdroja alebo z dvoch rôznych nasadení.
Sledujte, čo tunel vracia
Ak sa tunel sám reštartuje, profil takmer určite obsahuje pravidlo na požiadanie. Pravidlo, ktoré zodpovedá akémukoľvek rozhraniu a akcii Connect, spustí tunel pri pripojení Wi-Fi, pri prebudení Macu zo spánku alebo pri zlyhaní testu DNS. Klient neponúka prepínač, ktorý by záťaž prepísal.
Zoznam služieb a konfigurácia jednotlivých služieb pochádzajú zo scutil:
scutil --nc list
scutil --nc show "Corporate VPN"Vo výstupe show nájdite OnDemandRules a prečítajte hodnotu Action každého záznamu. Connect tunel zdvihne, Disconnect ho zhodí a Ignore ponechá aktuálny stav bez zmeny. Prvé pravidlo, ktoré zodpovedá všetkému s Connect, je obvyklý dôvod, prečo tunel po odpojení nezostane vypnutý.
Ak pripojenie v scutil --nc list chýba, nie je nainštalované ako systémová služba VPN. To ukazuje na sieťové rozšírenie vlastnené klientskou aplikáciou, kde profil možno odovzdáva len konfiguráciu aplikácie a aplikácia sama rozhoduje, kedy sa pripojiť.
Rozhodnite, či je odstránenie na vás
Vymazanie blokujú dva mechanizmy. Záťaž môže nastaviť PayloadRemovalDisallowed, čo profil v rozhraní zneprístupní na odstránenie, a Mac môže byť pod dohľadom, takže odstránenie profilu správy sa rovno odmietne. Ani jedno nie je chyba a mazanie nesúvisiacich certifikátov alebo profilu správy, aby ste situáciu vynútili, vás nechá s oveľa väčším problémom, než s ktorým ste začali.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Pri pracovnom Macu je správna cesta podpora alebo odchod u správcu. Vezmite si identifikátor profilu so sebou. Tiket, ktorý hovorí len „profil VPN“, nikomu nestačí na nájdenie objektu, ktorý máte na mysli.
Zhromaždite dôkazy, než požiadate o pomoc
Zapíšte päť vecí: identifikátor profilu, UUID záťaží, verziu a build macOS zo sw_vers, podtyp VPN a presný text zlyhania s časovou pečiatkou. Doplňte, či je tunel plný alebo rozdelený a či zlyháva pri pripájaní alebo pri prvom prístupe k internému zdroju, pretože tieto dve zlyhania majú rôznych vlastníkov.
Pri zlyhaní sieťového rozšírenia zvyčajne stačí jedna úzka požiadavka do logu:
log show --last 5m --predicate 'process == "nesessionmanager"'Zachyťte riadky okolo pokusu, nie celé okno, a pred zverejnením výsledku kdekoľvek začiernite názvy serverov a subjekty certifikátov. Príručka nasadenia od Apple vysvetľuje, na čo sú spravované záťaže VPN a pravidlá na požiadanie určené, a to je lepší argument než snímka obrazovky: Prehľad VPN.
Keď je všetkých päť kontrol hotových, platí presne jedna z troch vecí. Profil nie je váš na odstránenie, záťaž tunel zámerne znovu pripája, alebo klient drží konfiguráciu, ktorú profil nikdy neriadil. Vezmite identifikátory a časovú os tomu, kto vlastní zápis; to je tiket, na ktorý niekto môže reagovať. Znova stláčať delete nie je.