Per què un perfil VPN d'iOS queda bloquejat i com treure'l
Una entrada VPN d'iOS pertany a una app o a un perfil signat. Identifica el propietari a Configuració, elimina l'objecte correcte i revoca el que l'esborrat local deixa viu.
Treure una entrada VPN en un iPhone o iPad falla per una de dues raons, i cap d'elles és un interruptor encallat. O l'entrada la va instal·lar un servei de gestió de dispositius i el botó Elimina mai no va ser teu, o una app que encara tens instal·lada considera la configuració com a seva i la torna a escriure a la propera arrencada. Els dos tipus són gairebé al mateix lloc de Configuració, així que la gent esborra la mateixa fila tres vegades i culpa iOS. Identifica primer el propietari de l'objecte i després elimina'l tal com aquest propietari permet.
Dos objectes comparteixen una fila de Configuració
Una VPN creada per una app es construeix amb el framework NetworkExtension. L'app munta una configuració en codi, la desa a l'emmagatzematge del sistema, i iOS la llista a VPN amb un interruptor d'estat. L'app continua sent propietària d'aquest registre: pot actualitzar-lo més tard, adjuntar-hi regles de connexió a demanda o tornar-lo a afegir després que l'esborris. Les versions recents d'iOS demanen confirmació quan una app vol afegir una configuració VPN, i és en aquest avís que es concedeix la propietat.
Un perfil de configuració és un altre objecte. És un fitxer signat, normalment un .mobileconfig, que pot portar una càrrega VPN juntament amb ajustos de Wi-Fi, certificats, restriccions i comptes de correu. Algú l'instal·la des d'una descàrrega o amb Apple Configurator, o un servei de gestió l'empeny. La unitat d'eliminació és el perfil, no la fila VPN. iOS no ofereix esborrar una sola càrrega d'un perfil signat, així que eliminar-lo s'emporta tota la resta del perfil.
Els dos s'assemblen en superfície i es comporten de manera molt diferent, així que compara el que veus amb aquesta taula abans de canviar res.
| What you see | Usual owner | Who can remove it |
|---|---|---|
| VPN row with an app name and a status switch | The app, through NetworkExtension | You, in Settings, or the app itself |
| Profile with a VPN payload and a Remove button | You, or whoever handed you the file | You, from the profile screen |
| Profile with no Remove button and an organization name | A management server | The organization that enrolled the device |
Llegir el propietari a Configuració
A les versions actuals d'iOS i iPadOS la llista és a Configuració, General, VPN i gestió de dispositius; les versions antigues anomenaven aquesta mateixa pantalla Perfils. Obre el perfil i llegeix la pantalla de detall abans de tocar res. Una línia amb el nom de l'organització, o les paraules Gestionat per, vol dir que el perfil va arribar d'un servidor de gestió. Un botó Elimina el perfil vol dir que aquesta instal·lació es pot treure a mà, cosa que encara no diu si el servidor la tornarà a empènyer a la propera comprovació.
Després revisa la secció VPN d'aquesta mateixa pantalla. Les entrades creades per apps mostren el nom de l'app al costat, i el botó d'informació obre la configuració amb la seva pròpia opció Elimina la VPN. Una fila els detalls de la qual nomenen una càrrega en lloc d'una app pertany a un perfil i s'ha de tractar allà. Apagar l'interruptor d'estat no és eliminar: la configuració continua desada, i una regla de connexió a demanda pot tornar a aixecar el túnel en el moment que aparegui una xarxa coincident.
Treure una configuració personal que no para de tornar
Obre l'entrada VPN, toca el botó d'informació, tria Elimina la VPN i confirma. Si l'entrada torna després d'un reinici, l'app l'està recreant; és comportament previst i no un error. Atura la recreació a l'origen: desactiva la connexió a demanda dins la configuració, rebutja l'avís d'aprovació si l'app vol tornar a afegir la configuració, o desinstal·la l'app quan ja no la necessitis. Elimina l'entrada abans de desinstal·lar, perquè una app desinstal·lada pot deixar una configuració desada que res ja no gestiona.
Quan el proveïdor va lliurar un perfil en lloc d'una configuració NetworkExtension, apareix a la mateixa llista de perfils amb el nom del proveïdor. Elimina primer el perfil i després l'app. No esborris certificats aliens per afeblir la configuració: un certificat d'aquesta llista pot ser de confiança per a correu, Wi-Fi o llocs interns, i treure'l trenca més que el túnel.
Quan la gestió de dispositius controla el perfil
Un servidor de gestió instal·la un perfil amb una ordre d'instal·lació i l'elimina amb una ordre d'eliminació corresponent. Fins que això passi, el perfil no és del dispositiu per esborrar-lo, i un perfil gestionat que es pot treure localment normalment es torna a empènyer a la comprovació següent. Esborrar el dispositiu tampoc no canvia l'assignació. Amb la inscripció automàtica el número de sèrie està lligat a l'organització, així que l'Assistent de configuració inscriu el dispositiu de nou i el mateix perfil arriba abans que arribis a la pantalla d'inici.
La sortida és administrativa. Demana a l'administrador que retiri el registre del dispositiu del servei de gestió, cosa que acaba la inscripció i atura instal·lacions futures, o que elimini només el perfil VPN de l'assignació si el dispositiu ha de continuar gestionat sense ell. Per a un dispositiu que deixa l'organització, demana les dues coses: la inscripció retirada i el compte VPN o el certificat revocats. L'esborrat local sol deixa credencials que encara s'autentiquen des d'una còpia del perfil en un altre lloc.
Si el perfil encara és a la llista després del canvi al servidor, reinicia el dispositiu i torna a llegir la llista abans d'esborrar res. Algunes eliminacions només arriben a la comprovació següent del dispositiu, i un reinici força aquesta conversa.
Verificar i revocar el que l'eliminació no va fer
Quan l'entrada ja no hi sigui, confirma tres coses per ordre: la llista VPN ja no conté la configuració, la llista de perfils ja no mostra el perfil que la portava, i un reinici no torna cap de les dues. Una configuració que reapareix després d'un reinici apunta a un propietari que encara no has trobat, no a un esborrat fallit. Després prova l'accés que volies acabar: una petició a un host intern hauria de fallar, i l'àrea d'estat hauria de quedar inactiva.
L'eliminació és local; la revocació no ho és. Esborra o desactiva el compte VPN de l'usuari al servidor, revoca el certificat que portava el perfil i neteja les credencials desades que l'app tenia al clauer. La guia d'Apple per instal·lar i eliminar perfils de configuració cobreix la ruta al dispositiu per a cada versió d'iOS; l'autoritat restant és al costat de la gestió. Anota què es va eliminar, qui ho va aprovar i si es va revocar el compte, perquè la propera persona que tingui aquest dispositiu troba els mateixos dos objectes.