Warum ein iOS-VPN-Profil gesperrt bleibt und wie man es entfernt

Das Entfernen eines VPN-Eintrags auf einem iPhone oder iPad scheitert aus einem von zwei Gründen, und keiner davon ist ein hängender Schalter. Entweder wurde der Eintrag von einem Geräteverwaltungsdienst installiert, und die Schaltfläche Entfernen war nie für dich bestimmt, oder eine weiterhin installierte App betrachtet die Konfiguration als ihre eigene und schreibt sie beim nächsten Start zurück. Beide Arten stehen fast an derselben Stelle in den Einstellungen, deshalb löschen Leute dieselbe Zeile dreimal und geben iOS die Schuld. Bestimme zuerst den Eigentümer des Objekts und entferne es dann so, wie dieser Eigentümer es erlaubt.

Zwei Objekte teilen sich eine Zeile in den Einstellungen

Ein von einer App erzeugtes VPN entsteht über das NetworkExtension-Framework. Die App baut eine Konfiguration im Code zusammen, speichert sie im Systemspeicher, und iOS listet sie unter VPN mit einem Statusschalter auf. Die App bleibt Eigentümerin dieses Eintrags: Sie kann ihn später aktualisieren, Regeln für Verbinden bei Bedarf anhängen oder ihn nach dem Löschen erneut hinzufügen. Aktuelle iOS-Versionen fragen nach Bestätigung, wenn eine App eine VPN-Konfiguration hinzufügen will, und in dieser Abfrage wird die Eigentümerschaft erteilt.

Ein Konfigurationsprofil ist ein anderes Objekt. Es ist eine signierte Datei, normalerweise eine .mobileconfig, die eine VPN-Nutzlast zusammen mit WLAN-Einstellungen, Zertifikaten, Einschränkungen und Mail-Konten enthalten kann. Jemand installiert sie aus einem Download oder über Apple Configurator, oder ein Verwaltungsdienst schiebt sie ein. Die Einheit des Entfernens ist das Profil, nicht die VPN-Zeile. iOS bietet nicht an, eine einzelne Nutzlast aus einem signierten Profil zu löschen, deshalb nimmt das Entfernen alles andere im Profil mit.

Die beiden sehen auf der oberen Ebene ähnlich aus und verhalten sich völlig unterschiedlich, also vergleiche, was du siehst, mit dieser Tabelle, bevor du etwas änderst.

Den Eigentümer in den Einstellungen ablesen

In aktuellen iOS- und iPadOS-Versionen liegt die Liste unter Einstellungen, Allgemein, VPN & Geräteverwaltung; ältere Versionen nannten denselben Bildschirm Profile. Öffne das Profil und lies den Detailbildschirm, bevor du etwas anfasst. Eine Zeile mit dem Namen der Organisation oder die Worte Verwaltet durch bedeuten, dass das Profil von einem Verwaltungsserver kam. Eine Schaltfläche Profil entfernen bedeutet, dass diese Installation von Hand entfernt werden kann, was aber noch nicht sagt, ob der Server sie beim nächsten Check-in zurückschiebt.

Prüfe dann den VPN-Bereich desselben Bildschirms. Von Apps erstellte Einträge zeigen den App-Namen daneben, und die Info-Schaltfläche öffnet die Konfiguration mit ihrer eigenen Option VPN löschen. Eine Zeile, deren Details eine Nutzlast statt einer App nennen, gehört zu einem Profil und muss dort behandelt werden. Den Statusschalter auszuschalten ist kein Entfernen: Die Konfiguration bleibt gespeichert, und eine Regel für Verbinden bei Bedarf kann den Tunnel in dem Moment wieder aufbauen, in dem ein passendes Netz erscheint.

Eine persönliche Konfiguration entfernen, die immer zurückkommt

Öffne den VPN-Eintrag, tippe auf die Info-Schaltfläche, wähle VPN löschen und bestätige. Steht der Eintrag nach einem Neustart wieder da, erzeugt die App ihn neu; das ist gewolltes Verhalten und kein Fehler. Stoppe die Neuerstellung an der Quelle: Schalte Verbinden bei Bedarf in der Konfiguration aus, lehne die Bestätigungsabfrage ab, wenn die App die Konfiguration erneut hinzufügen will, oder deinstalliere die App, sobald du sie nicht mehr brauchst. Entferne den Eintrag vor dem Deinstallieren, denn eine deinstallierte App kann eine gespeicherte Konfiguration zurücklassen, die nichts mehr verwaltet.

Wenn der Anbieter ein Profil statt einer NetworkExtension-Konfiguration geliefert hat, erscheint es in derselben Profilliste unter dem Namen des Anbieters. Entferne zuerst das Profil, dann die App. Lösche keine fremden Zertifikate, um die Konfiguration zu schwächen: Ein Zertifikat in dieser Liste kann von Mail, WLAN oder internen Seiten vertraut werden, und sein Entfernen bricht mehr als den Tunnel.

Wenn die Geräteverwaltung das Profil hält

Ein Verwaltungsserver installiert ein Profil mit einem Installationsbefehl und entfernt es mit einem passenden Entfernungsbefehl. Bis das geschieht, ist das Profil nicht zum Löschen durch das Gerät bestimmt, und ein verwaltetes Profil, das lokal entfernt werden kann, wird beim nächsten Check-in meist erneut eingespielt. Das Gerät zu löschen ändert die Zuweisung ebenfalls nicht. Bei automatischer Registrierung ist die Seriennummer an die Organisation gebunden, also registriert Setup Assistant das Gerät erneut, und dasselbe Profil landet darauf, bevor du den Home-Bildschirm erreichst.

Der Ausweg ist administrativ. Bitte den Administrator, den Geräteeintrag aus dem Verwaltungsdienst zu entfernen, was die Registrierung beendet und künftige Installationen stoppt, oder nur das VPN-Profil aus der Zuweisung zu löschen, wenn das Gerät ohne es verwaltet bleiben soll. Für ein Gerät, das die Organisation verlässt, bitte um beides: die Registrierung entfernt und das VPN-Konto oder Zertifikat widerrufen. Lokales Löschen allein hinterlässt Anmeldedaten, die sich aus einer Kopie des Profils anderswo weiterhin authentifizieren.

Steht das Profil nach der serverseitigen Änderung noch in der Liste, starte das Gerät neu und lies die Liste erneut, bevor du irgendetwas löschst. Manche Entfernungen greifen erst beim nächsten Check-in des Geräts, und ein Neustart erzwingt dieses Gespräch.

Prüfen und widerrufen, was das Entfernen nicht erledigt hat

Nachdem der Eintrag weg ist, bestätige drei Dinge der Reihe nach: Die VPN-Liste enthält die Konfiguration nicht mehr, die Profilliste zeigt das Profil, das sie trug, nicht mehr, und ein Neustart bringt keines von beiden zurück. Eine Konfiguration, die nach einem Neustart wieder auftaucht, weist auf einen Eigentümer hin, den du noch nicht gefunden hast, nicht auf ein fehlgeschlagenes Löschen. Teste dann den Zugang, den du beenden wolltest: Eine Anfrage an einen internen Host sollte scheitern, und der Statusbereich sollte untätig bleiben.

Das Entfernen ist lokal, der Widerruf nicht. Lösche oder deaktiviere das VPN-Konto des Nutzers auf dem Server, widerrufe das Zertifikat, das das Profil trug, und lösche gespeicherte Anmeldedaten, die die App im Schlüsselbund behalten hat. Apples Anleitung zum Installieren und Entfernen von Konfigurationsprofilen deckt den Weg auf dem Gerät für jede iOS-Version ab; die verbleibende Befugnis liegt auf der Verwaltungsseite. Halte fest, was entfernt wurde, wer es genehmigt hat und ob das Konto widerrufen wurde, denn die nächste Person mit diesem Gerät trifft dieselben zwei Objekte.