Керований VPN-профіль на Mac не видаляється? Перевірте ці 5 кроків
Перш ніж видаляти керований профіль VPN на Mac, підтвердьте, кому він належить, що вимагає корисне навантаження і чому видалення заблоковано, за допомогою п'яти послідовних перевірок.
Ваш Mac зберігає профіль VPN, який не видаляється, або видаляється й повертається після перезавантаження. Зазвичай це питання керування, а не пошкоджений клієнт. Наведені нижче перевірки йдуть від власності до корисного навантаження й до правил повторного підключення, і кожна з них може зупинити вас, перш ніж ви витратите півдня не в тій панелі. Виконуйте їх по порядку; крок, на якому відповідь змінюється, — це місце, де ваша частина роботи закінчується.
Переконайтеся, що профіль керований, а не просто збережений
Відкрийте Системні налаштування і знайдіть Профілі або Керування пристроєм. Залежно від версії macOS список розташований у розділі Конфіденційність і безпека (Профілі) або Загальні (Керування пристроєм). Профіль, який показує назву організації, короткий опис і не має кнопки мінус, установлено організацією, а не додано вами.
Дві перевірки в терміналі швидко з'ясують власність. Перша показує реєстрацію, друга перелічує профілі пристрою:
sudo profiles status -type enrollment
sudo profiles -PЯкщо реєстрація показує «так», а список профілів порожній, не робіть висновку, що нічого не встановлено. На керованих Mac деякі корисні навантаження, доставлені через MDM, залишаються прихованими від інструмента profiles, але при цьому активними. Панель Керування пристроєм — це авторитетний перегляд того, що надіслала організація, і порожній список у командному рядку на зареєстрованому Mac є суперечністю, яку не слід вирішувати здогадами.
Читайте корисне навантаження, а не відображувану назву
Профіль VPN — це контейнер, і видима назва мало говорить про те, що всередині. Одне корисне навантаження може містити адресу сервера IKEv2, віддалений ідентифікатор, метод автентифікації та сертифікат із власним UUID. Друге корисне навантаження в тому самому профілі може надати сертифікат ідентичності, потрібний тунелю, тому сертифікат, який виглядає відсутнім у Keychain, усе одно може надійти через той самий профіль.
Виведіть корисні навантаження і прочитайте ключі, що мають значення:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Запишіть UUID корисних навантажень, перш ніж щось змінювати. Це ідентифікатори, потрібні адміністратору для пошуку точного об'єкта, і вони також підказують, чи тунель і сертифікат походять з одного джерела чи з двох різних розгортань.
Стежте, що повертає тунель
Якщо тунель перезапускається сам, профіль майже напевно містить правило On Demand. Правило, яке збігається з будь-яким інтерфейсом і має дію Connect, запускає тунель, коли Wi-Fi підключається, коли Mac прокидається зі сну або коли перевірка DNS не вдається. Клієнт не надає перемикача, який скасовує корисне навантаження.
Список служб і конфігурація кожної служби надходять із scutil:
scutil --nc list
scutil --nc show "Corporate VPN"У виводі show знайдіть OnDemandRules і прочитайте значення Action кожного запису. Connect піднімає тунель, Disconnect опускає його, а Ignore залишає поточний стан без змін. Перше правило, яке збігається з усім і має Connect, — звичайна причина того, що тунель не залишається вимкненим після від'єднання.
Якщо з'єднання відсутнє в scutil --nc list, його не встановлено як системну службу VPN. Це вказує на мережеве розширення, що належить клієнтській програмі, де профіль може лише передати конфігурацію програми, а сама програма вирішує, коли підключатися.
Вирішіть, чи видалення належить до ваших повноважень
Видаленню перешкоджають два механізми. Корисне навантаження може встановити PayloadRemovalDisallowed, що робить профіль невидалюваним в інтерфейсі, а Mac може бути під наглядом, тож видалення профілю керування відхиляється одразу. Жоден із них не є помилкою, і видалення сторонніх сертифікатів або профілю керування, щоб примусити події, залишить вас із набагато більшою проблемою, ніж та, з якої ви почали.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Для робочого Mac правильним є шлях підтримки або офбордингу через адміністратора. Візьміть із собою ідентифікатор профілю. Заявка, у якій написано лише «профіль VPN», не дасть нікому змоги знайти об'єкт, який ви маєте на увазі.
Зберіть докази, перш ніж просити про допомогу
Запишіть п'ять речей: ідентифікатор профілю, UUID корисних навантажень, версію та збірку macOS із sw_vers, підтип VPN і точний текст помилки з часовою міткою. Додайте, чи тунель повний чи розділений і чи помилка виникає під час підключення чи під час першого доступу до внутрішнього ресурсу, оскільки ці дві помилки мають різних власників.
Для збою мережевого розширення зазвичай достатньо одного вузького запиту до журналу:
log show --last 5m --predicate 'process == "nesessionmanager"'Захопіть рядки навколо спроби, а не все вікно, і перед публікацією результату будь-де вилучіть назви серверів і суб'єктів сертифікатів. Посібник Apple з розгортання пояснює, для чого призначені керовані корисні навантаження VPN і правила On Demand, і це кращий аргумент, ніж знімок екрана: Огляд VPN.
Коли всі п'ять перевірок виконано, істинним є рівно одне з трьох. Профіль не ваш для видалення, корисне навантаження за задумом повторно підключає тунель, або клієнт зберігає конфігурацію, якою профіль ніколи не керував. Візьміть ідентифікатори й хронологію до того, хто володіє реєстрацією; це заявка, з якою можна щось зробити. Повторне натискання кнопки видалення — ні.