老版也是这样，晃动鼠标，滑动触控板，鼠标就出来了。

牛都爆了，太高端了

既然是从 MacBook 连到 Mac mini, 而且还有公网 IP，那么还找什么第三方的 app 呢？为什么不用 Apple Remote Desktop 呢，admin 端对于你来的应用场景说是大材小用了。
mini 端打开远程管理和只准许管理员账户登录和管理，MacBook 端的 ARD 通过 IP 就可以连接了，打开所有的通讯加密，快速高效安全。
一次购买即可，其实不购买都行。

1. 一个证书怎么会有监控的功能？只能是认证和加密通讯。
2. vpn 如果是 app 到是不好说，如果只是只是通过描述文件来设置 iOS 的 VPN 配置，那又是另外一回事。

目标机多大可用空间？

@deadtomb ARD 唤醒只能是睡眠唤醒. 我说的是 Wake-on-LAN 。只要是可以发送 WOL 的 Magic packets 就可以唤醒。VPN 要看你的路由器，openVPN 等太多了。
要是还被登录了，有可能是装了什么 app 吧，TeamView 之类的？

@haifenluo
#6 楼， 根据 MCS 索引，调制模式是 64-QAM，这个的意思是
20 MHz channels，最高速率 86
40 MHz channels，最高速率 172
80 MHz channels，最高速率 360
160 MHz channels，最高速率 721
最高的 MCS=11，最到达 1201

@deadtomb Mac 是可以远程唤醒和 PC 一样的啊，不用 24 小时开机，新机器硬件还支持 WiFi 唤醒呢。我公司的 VPN 不感觉太慢，不过我不是远程完游戏看视频做动画，所以要求不高。

SIP 只有在变动时关闭，改动完还可以打开的。
找到对方的 IP 没用，最好是开启 VPN，这样 ARD 也安全了

要是想找到“被入侵是用的什么方式”，现在没有留下太多的证据和记录，如何办呢。估计，你得做个陷阱，请君入瓮，才好办吧，具体怎么做，你得找个搞网络的帮你。

@deadtomb 很有可能是被用传统方式调用 kickstart 。至少保证 1 管理员账户安全，2 远程管理安全，3 SIP 等安全开启。要是不用 ARD，就完全关了吧。

那么肯定是 Friend 账户被被人获取了，改一个强密码，到 system.log 中查找 com.apple.remote 或者 screensharing，但是不要期望找到很详细的信息，只是能确认某段时间被 remote 访问过。
另外，以前忽略的是，那个名字是现实的远端机器的用户全名，所有本机上找不到。
当然，上面都不是黑客的思维方式，所以可能都是无功而返。

@deadtomb 你的远程管理是怎么设置的呢？

@deadtomb 建了删账户很简单，但你不是断网了吗，没时间删的啊，除非你有联回去了。下面的命令看全名：
dscl . list /users RealName
Remote Management/Screen Sharing，都说的是同一个东西，Screensharing 是 1 对 1，Apple Remote Desktop 的 admin 端可以一对多。
11.4 要想开启 RM，必须是或者用户手动开启，或者用 MDM 的配置描述文件控制。自己查查是否被 MDM 管理+装了描述文件，在系统偏好设置中或者命令行 [sudo] profiles list

@deadtomb
你的系统用户列表比我的多了，我的是 BigSur 11.3：
_BGMXPCHelper
_serialnumberd
_xcsbuildagent

你建了两个账户？ friend 和 wei ？

你使用过 ssh 或者每次登陆都用 terminal 吗？ 这些的登录都很短时间，

你在屏幕看到的名称不是用户名，而是账户全名

其实就是在公网上，被哪个扫描到了你这个 Mac，通过各种方式，创建了一个新的管理员

看这个 mac 的系统版本
用 last 命令看谁登陆过，而且通过 console 或 tty，可以看出是 ssh 还是 login 界面。
下面的命令列出所有账户：
dscl . list /Users

当然，还可能是在其他地方，看看下面是有几个目录：
ls -la /var/db/dslocal/nodes

在显示生活中，很多时候老外如果夸你或者太夸张，或者特勉强，或者不是点上，就要想想是不是有什么地方出了问题，而不是沾沾自喜。

高配芯片会给 MBP，而不是 MBA

@Mitt 跑个题，请问你的 MDM 是自己装的，还是公司的？