Управљани Mac VPN профил се не брише? Проверите ових пет корака
Пре него што избришете управљани Mac VPN профил, потврдите коме припада, шта payload намеће и зашто је уклањање блокирано, кроз пет провера по реду.
Ваш Mac држи VPN профил који одбија да се избрише, или се брише па се враћа након рестарта. То је обично питање управљања, а не покварен клијент. Провере испод иду од власништва до payload-а до правила поновног повезивања, и свака може да вас заустави пре него што потрошите поподне у погрешном панелу. Радите их по реду; корак на којем се одговор мења је место где се ваш део завршава.
Потврдите да је профил управљан, а не само сачуван
Отворите Системске поставке и потражите Профили или Управљање уређајем. У зависности од верзије macOS, листа се налази под Приватност и безбедност (Профили) или Опште (Управљање уређајем). Профил који приказује назив организације, кратак опис и нема дугме минус инсталирала је организација, а не ви.
Две провере у терминалу брзо решавају власништво. Прва извештава о упису, друга листа профиле уређаја:
sudo profiles status -type enrollment
sudo profiles -PАко упис каже да, а листа профила је празна, немојте закључити да ништа није инсталирано. На управљаним Mac рачунарима неки payload-и које доставља MDM остају скривени од алата profiles, а ипак су активни. Панел Управљање уређајем је меродаван приказ онога што је организација послала, а празан списак у командној линији на уписаном Mac-у је противречност коју не треба решавати нагађањем.
Читајте payload, а не приказано име
VPN профил је контејнер, а видљиво име мало говори о томе шта је унутра. Један payload може да носи адресу IKEv2 сервера, удаљени идентификатор, метод аутентификације и сертификат са сопственим UUID-ом. Други payload у истом профилу може да пружи идентитетски сертификат који тунелу треба, зато сертификат који изгледа да недостаје у Keychain-у ипак може да стигне кроз исти профил.
Излистајте payload-е и прочитајте кључеве који су важни:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Запишите UUID-ове payload-а пре него што било шта промените. То су идентификатори који администратору требају да пронађе тачан објекат, и говоре вам да ли тунел и сертификат долазе из истог извора или из два различита увођења.
Пратите шта враћа тунел
Ако се тунел сам рестартује, профил готово сигурно садржи правило на захтев. Правило које се поклапа са било којим интерфејсом и радњом Connect покреће тунел када се Wi-Fi повеже, када се Mac пробуди из сна или када DNS провера не успе. Клијент не нуди прекидач који надјачава payload.
Листа сервиса и конфигурација по сервису долазе из scutil:
scutil --nc list
scutil --nc show "Corporate VPN"У излазу show пронађите OnDemandRules и прочитајте вредност Action сваког уноса. Connect подиже тунел, Disconnect га руши, а Ignore оставља тренутно стање непромењеним. Прво правило које се поклапа са свиме и има Connect уобичајен је разлог зашто тунел не остаје искључен након што га прекинете.
Ако веза недостаје у scutil --nc list, није инсталирана као системски VPN сервис. То упућује на мрежно проширење у власништву клијентске апликације, где профил можда само предаје конфигурацију апликације, а апликација сама одлучује када ће се повезати.
Одлучите да ли је уклањање ваш посао
Два механизма блокирају брисање. Payload може да постави PayloadRemovalDisallowed, што профил чини неуклоњивим у интерфејсу, а Mac може бити под надзором тако да се уклањање управљачког профила одбија без остатка. Ни једно није грешка, а брисање неповезаних сертификата или управљачког профила да се ствар присили оставља вас са много већим проблемом од оног са којим сте почели.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
За пословни Mac исправан је пут подршке или одјаве код администратора. Понесите идентификатор профила са собом. Тикет у којем пише само „VPN профил” није довољан да било ко пронађе објекат који имате на уму.
Прикупите доказе пре него што затражите помоћ
Запишите пет ствари: идентификатор профила, UUID-ове payload-а, верзију и build macOS-а из sw_vers, подтип VPN-а и тачан текст грешке са временском ознаком. Додајте да ли је тунел пун или раздвојен и пада ли при повезивању или при првом приступу унутрашњем ресурсу, јер та два квара имају различите власнике.
За квар мрежног проширења обично је довољан један узак упит у дневник:
log show --last 5m --predicate 'process == "nesessionmanager"'Захватите редове око покушаја, а не цео прозор, и уклоните имена сервера и субјекте сертификата пре него што резултат објавите било где. Apple-ов водич за увођење објашњава чему служе управљани VPN payload-и и правила на захтев, и то је бољи аргумент од снимка екрана: Преглед VPN-а.
Када је свих пет провера обављено, тачно једна од три ствари је истинита. Профил није ваш за уклањање, payload по дизајну поново повезује тунел, или клијент држи конфигурацију коју профил никада није контролисао. Однесите идентификаторе и временску линију ономе ко поседује упис; то је тикет по којем неко може поступити. Поновно притискање delete није.