Mac'teki yönetilen VPN profili silinmiyor mu? Bu 5 adımı kontrol edin
Yönetilen bir Mac VPN profilini silmeden önce sahibinin kim olduğunu, yükün neyi zorunlu kıldığını ve kaldırmanın neden engellendiğini beş sıralı kontrolle doğrulayın.
Mac'iniz silinmeyi reddeden ya da silindikten sonra yeniden başlatmada geri gelen bir VPN profili tutuyor. Bu genellikle bir yönetim sorunudur, bozulmuş bir istemci değildir. Aşağıdaki kontroller sahiplikten yüke ve yeniden bağlanma kurallarına doğru ilerler ve her biri, yanlış bölmede bir öğleden sonra harcamadan önce sizi durdurabilir. Bunları sırayla uygulayın; yanıtın değiştiği adım, sizin görevinizin bittiği yerdir.
Profilin yalnızca kaydedilmediğini, yönetildiğini doğrulayın
Sistem Ayarları'nı açın ve Profiller veya Cihaz Yönetimi'ni arayın. macOS sürümüne bağlı olarak liste Gizlilik ve Güvenlik (Profiller) veya Genel (Cihaz Yönetimi) altında yer alır. Bir kuruluş adı, kısa bir açıklama gösteren ve eksi düğmesi olmayan bir profil, sizin eklediğiniz değil kuruluş tarafından yüklenmiş bir profildir.
İki terminal kontrolü sahipliği hızla netleştirir. Birincisi kaydı bildirir, ikincisi cihaz profillerini listeler:
sudo profiles status -type enrollment
sudo profiles -PKayıt evet diyorsa ve profil listesi boşsa, hiçbir şeyin yüklenmediği sonucuna varmayın. Yönetilen Mac'lerde MDM aracılığıyla gelen bazı yükler etkin kalırken profiles aracından gizli kalır. Cihaz Yönetimi bölmesi, kuruluşun neyi gönderdiğine dair yetkili görünümdür ve kayıtlı bir Mac'te boş bir komut satırı listesi, tahminle çözmemeniz gereken bir çelişkidir.
Görünen adı değil, yükü okuyun
Bir VPN profili bir kaptır ve görünen ad, içinde ne olduğu hakkında çok az şey söyler. Bir yük, IKEv2 sunucu adresini, uzak tanımlayıcıyı, kimlik doğrulama yöntemini ve kendi UUID'si olan bir sertifikayı taşıyabilir. Aynı profildeki ikinci bir yük, tünelin ihtiyaç duyduğu kimlik sertifikasını sağlayabilir; bu yüzden Keychain'de eksik görünen bir sertifika yine de aynı profil üzerinden gelebilir.
Yükleri dökün ve önemli anahtarları okuyun:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Herhangi bir şeyi değiştirmeden önce yük UUID'lerini kaydedin. Bunlar, bir yöneticinin tam nesneyi bulması için ihtiyaç duyduğu tanımlayıcılardır ve ayrıca tünel ile sertifikanın aynı kaynaktan mı yoksa iki farklı dağıtımdan mı geldiğini size söyler.
Tüneli neyin geri getirdiğini izleyin
Tünel kendiliğinden yeniden başlıyorsa, profil neredeyse kesinlikle bir On Demand kuralı. Herhangi bir arayüzle eşleşen ve Connect eylemini kullanan bir kural, Wi-Fi ilişkilendiğinde, Mac uykudan uyandığında veya bir DNS sorgusu başarısız olduğunda tüneli başlatır. İstemci, yükü geçersiz kılan bir anahtar sunmaz.
Hizmet listesi ve hizmet başına yapılandırma scutil'den gelir:
scutil --nc list
scutil --nc show "Corporate VPN"show çıktısında OnDemandRules'u bulun ve her girdinin Action değerini okuyun. Connect tüneli açar, Disconnect kapatır ve Ignore mevcut durumu olduğu gibi bırakır. Her şeyle eşleşen ve Connect kullanan ilk kural, bağlantıyı kestiğinizde tünelin kapalı kalmamasının olağan nedenidir.
Bağlantı scutil --nc list içinde yoksa, sistem VPN hizmeti olarak yüklenmemiştir. Bu, bir istemci uygulamasına ait bir ağ uzantısına işaret eder; burada profil yalnızca uygulama yapılandırmasını devreder ve ne zaman bağlanacağına uygulamanın kendisi karar verir.
Kaldırmanın sizin yetkinizde olup olmadığına karar verin
Silmeyi iki mekanizma engeller. Yük, profili arayüzde kaldırılamaz yapan PayloadRemovalDisallowed değerini ayarlayabilir ve Mac, yönetim profilinin kaldırılmasının doğrudan reddedileceği şekilde denetlenebilir. İkisi de bir hata değildir ve sorunu zorlamak için ilgisiz sertifikaları veya yönetim profilini silmek, başladığınız sorundan çok daha büyük bir problemle sizi baş başa bırakır.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
İş Mac'i için yöneticinin destek veya offboarding yolu doğru olandır. Profil tanımlayıcısını yanınıza alın. Yalnızca “VPN profili” diyen bir bilet, kimsenin kastettiğiniz nesneyi bulması için yeterli değildir.
Yardım istemeden önce kanıt toplayın
Beş şeyi yazın: profil tanımlayıcısı, yük UUID'leri, sw_vers'ten macOS sürümü ve derlemesi, VPN alt türü ve zaman damgasıyla birlikte tam hata metni. Tünelin tam mı bölünmüş mü olduğunu ve bağlantı anında mı yoksa dahili bir kaynağa ilk erişimde mi başarısız olduğunu ekleyin; çünkü bu iki hatanın sahipleri farklıdır.
Bir ağ uzantısı hatası için genellikle tek ve dar bir günlük sorgusu yeterlidir:
log show --last 5m --predicate 'process == "nesessionmanager"'Tüm pencere yerine denemenin etrafındaki satırları yakalayın ve sonucu herhangi bir yerde paylaşmadan önce sunucu adlarını ve sertifika konularını sansürleyin. Apple'ın dağıtım kılavuzu, yönetilen VPN yüklerinin ve On Demand kurallarının ne yapmak üzere tasarlandığını açıklar ve bu, bir ekran görüntüsünden daha iyi bir argümandır: VPN'e genel bakış.
Beş kontrolün hepsi tamamlandığında, üç şeyden tam olarak biri doğrudur. Profil sizin kaldırabileceğiniz bir şey değildir, yük tüneli tasarım gereği yeniden bağlar ya da istemci, profilin hiç kontrol etmediği bir yapılandırmayı elinde tutar. Tanımlayıcıları ve zaman çizelgesini kaydın sahibine götürün; bu, birinin işlem yapabileceği bir bilet olur. Sil düğmesine tekrar basmak değil.