Por qué un perfil VPN de iOS sigue bloqueado y cómo quitarlo
Una entrada VPN de iOS pertenece a una app o a un perfil firmado. Identifica al propietario en Ajustes, elimina el objeto correcto y revoca lo que la eliminación local deja vivo.
Eliminar una entrada VPN en un iPhone o iPad falla por una de dos razones, y ninguna es un interruptor atascado. O bien la entrada la instaló un servicio de gestión de dispositivos y el botón Eliminar nunca fue tuyo, o bien una app que sigues teniendo instalada considera la configuración como suya y la vuelve a escribir en el siguiente arranque. Ambos tipos están casi en el mismo sitio de Ajustes, así que la gente borra la misma fila tres veces y culpa a iOS. Identifica primero al propietario del objeto y luego elimínalo como ese propietario permita.
Dos objetos comparten una fila de Ajustes
Un VPN creado por una app se construye con el framework NetworkExtension. La app arma una configuración en código, la guarda en el almacén del sistema y iOS la lista en VPN con un interruptor de estado. La app sigue siendo dueña de ese registro: puede actualizarlo después, adjuntar reglas de conexión bajo demanda o volver a añadirlo tras tu borrado. Las versiones recientes de iOS piden confirmación cuando una app quiere añadir una configuración VPN, y en ese aviso se concede la propiedad.
Un perfil de configuración es otro objeto. Es un archivo firmado, normalmente un .mobileconfig, que puede llevar una carga VPN junto con ajustes de Wi-Fi, certificados, restricciones y cuentas de correo. Alguien lo instala desde una descarga o con Apple Configurator, o un servicio de gestión lo empuja. La unidad de eliminación es el perfil, no la fila VPN. iOS no ofrece borrar una sola carga de un perfil firmado, así que eliminarlo se lleva todo lo demás del perfil.
Los dos se parecen en la superficie y se comportan de forma totalmente distinta, así que compara lo que ves con esta tabla antes de cambiar nada.
| What you see | Usual owner | Who can remove it |
|---|---|---|
| VPN row with an app name and a status switch | The app, through NetworkExtension | You, in Settings, or the app itself |
| Profile with a VPN payload and a Remove button | You, or whoever handed you the file | You, from the profile screen |
| Profile with no Remove button and an organization name | A management server | The organization that enrolled the device |
Leer al propietario en Ajustes
En las versiones actuales de iOS y iPadOS la lista está en Ajustes, General, VPN y gestión de dispositivos; las versiones antiguas llamaban a esa misma pantalla Perfiles. Abre el perfil y lee la pantalla de detalle antes de tocar nada. Una línea con el nombre de la organización, o las palabras Gestionado por, significa que el perfil llegó de un servidor de gestión. Un botón Eliminar perfil significa que esta instalación se puede quitar a mano, lo que aún no dice si el servidor la devolverá en la próxima comprobación.
Después revisa la sección VPN de esa misma pantalla. Las entradas creadas por apps muestran el nombre de la app al lado, y el botón de información abre la configuración con su propia opción Eliminar VPN. Una fila cuyos detalles nombran una carga en vez de una app pertenece a un perfil y debe tratarse allí. Apagar el interruptor de estado no es eliminar: la configuración sigue guardada, y una regla de conexión bajo demanda puede levantar el túnel de nuevo en cuanto aparezca una red coincidente.
Quitar una configuración personal que vuelve una y otra vez
Abre la entrada VPN, toca el botón de información, elige Eliminar VPN y confirma. Si la entrada vuelve tras un reinicio, la app la está recreando; es comportamiento previsto, no un fallo. Detén la recreación en el origen: desactiva la conexión bajo demanda en la configuración, rechaza el aviso de aprobación si la app quiere añadir la configuración otra vez, o desinstala la app cuando ya no la necesites. Elimina la entrada antes de desinstalar, porque una app desinstalada puede dejar una configuración guardada que nada gestiona.
Cuando el proveedor entregó un perfil en lugar de una configuración NetworkExtension, aparece en la misma lista de perfiles con el nombre del proveedor. Elimina primero el perfil y luego la app. No borres certificados ajenos para debilitar la configuración: un certificado de esa lista puede ser de confianza para correo, Wi-Fi o sitios internos, y quitarlo rompe más que el túnel.
Cuando la gestión de dispositivos controla el perfil
Un servidor de gestión instala un perfil con un comando de instalación y lo elimina con un comando de eliminación correspondiente. Hasta que eso ocurra, el perfil no es del dispositivo para borrarlo, y un perfil gestionado que se puede quitar localmente suele volver a empujarse en la siguiente comprobación. Borrar el dispositivo tampoco cambia la asignación. Con la inscripción automática el número de serie está ligado a la organización, así que el Asistente de configuración inscribe el dispositivo de nuevo y el mismo perfil llega antes de que alcances la pantalla de inicio.
La salida es administrativa. Pide al administrador que retire el registro del dispositivo del servicio de gestión, lo que termina la inscripción y detiene instalaciones futuras, o que elimine solo el perfil VPN de la asignación si el dispositivo debe seguir gestionado sin él. Para un dispositivo que deja la organización, pide ambas cosas: la inscripción retirada y la cuenta VPN o el certificado revocados. La eliminación local por sí sola deja credenciales que aún se autentican desde una copia del perfil en otro sitio.
Si el perfil sigue en la lista tras el cambio en el servidor, reinicia el dispositivo y vuelve a leer la lista antes de borrar nada. Algunas eliminaciones solo llegan en la siguiente comprobación del dispositivo, y un reinicio fuerza esa conversación.
Verificar y revocar lo que la eliminación no hizo
Cuando la entrada ya no esté, confirma tres cosas en orden: la lista VPN ya no contiene la configuración, la lista de perfiles ya no muestra el perfil que la llevaba, y un reinicio no devuelve ninguna de las dos. Una configuración que reaparece tras un reinicio apunta a un propietario que no has encontrado, no a un borrado fallido. Después prueba el acceso que querías terminar: una petición a un host interno debería fallar, y el área de estado debería quedarse inactiva.
La eliminación es local; la revocación no. Borra o desactiva la cuenta VPN del usuario en el servidor, revoca el certificado que llevaba el perfil y limpia las credenciales guardadas que la app tenía en el llavero. La guía de Apple para instalar y eliminar perfiles de configuración cubre la ruta en el dispositivo para cada versión de iOS; la autoridad restante está en el lado de gestión. Anota qué se eliminó, quién lo aprobó y si se revocó la cuenta, porque la siguiente persona que tenga este dispositivo se encontrará los mismos dos objetos.