โปรไฟล์ VPN บน Mac ที่ถูกจัดการลบไม่ได้? ตรวจ 5 ขั้นตอนเหล่านี้
ก่อนลบโปรไฟล์ VPN ที่ถูกจัดการบน Mac ให้ยืนยันว่าใครเป็นเจ้าของ เพย์โหลดบังคับอะไร และเพราะเหตุใดการลบจึงถูกบล็อก โดยใช้การตรวจห้าขั้นตอนตามลำดับ
Mac ของคุณยังมีโปรไฟล์ VPN ที่ไม่ยอมให้ลบ หรือลบได้แล้วกลับมาอีกครั้งหลังรีสตาร์ต โดยปกติแล้วนี่เป็นคำถามด้านการจัดการ ไม่ใช่ไคลเอนต์ที่เสียหาย การตรวจสอบด้านล่างไล่จากความเป็นเจ้าของไปยังเพย์โหลด แล้วต่อไปยังกฎการเชื่อมต่อใหม่ และแต่ละข้อสามารถหยุดคุณได้ก่อนที่คุณจะเสียเวลาทั้งบ่ายในแผงที่ผิด ลองทำตามลำดับ ขั้นตอนที่คำตอบเปลี่ยนคือจุดที่ส่วนของคุณสิ้นสุด
ยืนยันว่าโปรไฟล์ถูกจัดการ ไม่ใช่แค่ถูกบันทึกไว้
เปิดการตั้งค่าระบบแล้วค้นหาโปรไฟล์หรือการจัดการอุปกรณ์ ขึ้นอยู่กับเวอร์ชัน macOS รายการจะอยู่ในหัวข้อความเป็นส่วนตัวและความปลอดภัย (โปรไฟล์) หรือทั่วไป (การจัดการอุปกรณ์) โปรไฟล์ที่แสดงชื่อองค์กร คำอธิบายสั้น ๆ และไม่มีปุ่มเครื่องหมายลบ ถูกติดตั้งโดยองค์กรไม่ได้ถูกเพิ่มโดยคุณ
การตรวจในเทอร์มินัลสองครั้งช่วยตัดสินความเป็นเจ้าของได้อย่างรวดเร็ว ครั้งแรกแสดงสถานะการลงทะเบียน ครั้งที่สองแสดงรายการโปรไฟล์ของอุปกรณ์:
sudo profiles status -type enrollment
sudo profiles -Pหากการลงทะเบียนขึ้นว่าใช่แต่รายการโปรไฟล์ว่างเปล่า อย่าสรุปว่าไม่มีอะไรถูกติดตั้ง บน Mac ที่ถูกจัดการ เพย์โหลดบางส่วนที่ส่งผ่าน MDM จะยังคงซ่อนจากเครื่องมือ profiles ขณะที่ยังทำงานอยู่ แผงการจัดการอุปกรณ์คือมุมมองที่เชื่อถือได้ของสิ่งที่องค์กรผลักลงมา และรายการบรรทัดคำสั่งที่ว่างเปล่าบน Mac ที่ลงทะเบียนแล้วคือความขัดแย้งที่คุณไม่ควรแก้ด้วยการเดา
อ่านเพย์โหลด ไม่ใช่ชื่อที่แสดง
โปรไฟล์ VPN เป็นเพียงภาชนะ และ ชื่อที่มองเห็นบอกอะไรได้น้อยมากเกี่ยวกับสิ่งที่อยู่ข้างใน เพย์โหลดหนึ่งอาจบรรจุที่อยู่เซิร์ฟเวอร์ IKEv2 ตัวระบุระยะไกล วิธีการรับรองความถูกต้อง และใบรับรองที่มี UUID ของตัวเอง เพย์โหลดที่สองในโปรไฟล์เดียวกันอาจให้ใบรับรองอัตลักษณ์ที่อุโมงค์ต้องการ ซึ่งเป็นเหตุผลว่าทำไมใบรับรองที่ดูเหมือนหายไปใน Keychain อาจยังมาถึงผ่านโปรไฟล์เดียวกัน
ดัมป์เพย์โหลดแล้วอ่านคีย์ที่สำคัญ:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"บันทึก UUID ของเพย์โหลดไว้ก่อนที่คุณจะเปลี่ยนแปลงอะไร พวกมันคือตัวระบุที่ผู้ดูแลระบบต้องใช้เพื่อระบุออบเจ็กต์ที่แน่นอน และยังบอกคุณว่าอุโมงค์กับใบรับรองมาจากแหล่งเดียวกันหรือมาจากการติดตั้งสองชุดที่แตกต่างกัน
จับตาดูว่าอะไรทำให้อุโมงค์กลับมา
หากอุโมงค์รีสตาร์ตเอง โปรไฟล์เกือบแน่นอนว่ามีกฎ On Demand กฎที่ตรงกับอินเทอร์เฟซใด ๆ ด้วยการกระทำ Connect จะเริ่มอุโมงค์เมื่อ Wi-Fi เชื่อมต่อ เมื่อ Mac ตื่นจากโหมดหลับ หรือเมื่อการตรวจ DNS ล้มเหลว ไคลเอนต์ไม่เปิดเผยสวิตช์ที่เขียนทับเพย์โหลด
รายการบริการและการกำหนดค่าของแต่ละบริการมาจาก scutil:
scutil --nc list
scutil --nc show "Corporate VPN"ในเอาต์พุต show ให้หา OnDemandRules แล้วอ่านค่า Action ของแต่ละรายการ Connect จะเปิดอุโมงค์ Disconnect จะปิดมัน และ Ignore จะปล่อยสถานะปัจจุบันไว้ตามเดิม กฎข้อแรกที่ตรงกับทุกอย่างและมี Connect คือสาเหตุปกติที่อุโมงค์ไม่ยอมปิดหลังคุณตัดการเชื่อมต่อ
หากไม่พบการเชื่อมต่อใน scutil --nc list แสดงว่ามันไม่ได้ติดตั้งเป็นบริการ VPN ของระบบ นั่นชี้ไปที่ส่วนขยายเครือข่ายที่แอปไคลเอนต์เป็นเจ้าของ ซึ่งโปรไฟล์อาจส่งต่อเพียงการกำหนดค่าแอป และแอปเองเป็นผู้ตัดสินใจว่าจะเชื่อมต่อเมื่อใด
ตัดสินว่าการถอนออกเป็นสิทธิ์ของคุณหรือไม่
มีสองกลไกที่บล็อกการลบ เพย์โหลดสามารถตั้งค่า PayloadRemovalDisallowed ซึ่งทำให้โปรไฟล์ถูกลบไม่ได้ในอินเทอร์เฟซ และ Mac อาจถูกกำกับดูแลจนการถอนโปรไฟล์การจัดการถูกปฏิเสธโดยตรง ทั้งสองไม่ใช่ข้อบกพร่อง และการลบใบรับรองที่ไม่เกี่ยวข้องหรือโปรไฟล์การจัดการเพื่อบังคับให้เรื่องจบ จะทิ้งคุณไว้กับปัญหาที่ใหญ่กว่าปัญหาเดิมมาก
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
สำหรับ Mac ที่ใช้ทำงาน เส้นทางสนับสนุนหรือการส่งคืนอุปกรณ์ผ่านผู้ดูแลระบบคือสิ่งที่ถูกต้อง พาไอดีโปรไฟล์ไปด้วย ตั๋วที่เขียนเพียง “โปรไฟล์ VPN” ไม่พอให้ใครหาเจอวัตถุที่คุณหมายถึง
รวบรวมหลักฐานก่อนขอความช่วยเหลือ
จดห้าอย่าง ได้แก่ ตัวระบุโปรไฟล์ UUID ของเพย์โหลด เวอร์ชันและบิลด์ของ macOS จาก sw_vers ประเภท VPN ย่อย และข้อความข้อผิดพลาดที่แน่นอนพร้อมเวลาที่เกิด เพิ่มเติมว่าอุโมงค์เป็นแบบทั้งหมดหรือแยกส่วน และล้มเหลวตอนเชื่อมต่อหรือตอนเข้าถึงทรัพยากรภายในครั้งแรก เพราะความล้มเหลวทั้งสองมีเจ้าของต่างกัน
สำหรับความล้มเหลวของส่วนขยายเครือข่าย คำสั่งค้นหาบันทึกแบบแคบ ๆ หนึ่งครั้งมักเพียงพอ:
log show --last 5m --predicate 'process == "nesessionmanager"'เก็บเฉพาะบรรทัดรอบ ๆ การพยายามเชื่อมต่อ ไม่ใช่ทั้งหน้าต่าง และปิดบังชื่อเซิร์ฟเวอร์กับหัวข้อของใบรับรองก่อนโพสต์ผลลัพธ์ที่ใด ๆ คู่มือการติดตั้งใช้งานของ Apple อธิบายว่าเพย์โหลด VPN ที่ถูกจัดการและกฎ On Demand ถูกออกแบบมาเพื่ออะไร และนั่นเป็นข้อโต้แย้งที่ดีกว่าภาพหน้าจอ: ภาพรวม VPN
เมื่อตรวจครบทั้งห้าข้อแล้ว จะมีเพียงหนึ่งในสามอย่างที่เป็นจริง โปรไฟล์ไม่ได้อยู่ในการลบของคุณ เพย์โหลดเชื่อมต่ออุโมงค์ใหม่ตามการออกแบบ หรือไคลเอนต์ถือการกำหนดค่าที่โปรไฟล์ไม่เคยควบคุม นำตัวระบุและไทม์ไลน์ไปยังผู้ที่เป็นเจ้าของการลงทะเบียน นั่นคือตั๋วที่ใครสักคนลงมือได้ การกดลบอีกครั้งไม่ใช่