¿El perfil VPN gestionado del Mac no se elimina? Compruebe estos cinco pasos
Antes de eliminar un perfil VPN gestionado del Mac, confirme quién es su propietario, qué impone la carga útil y por qué se bloquea la eliminación, con cinco comprobaciones ordenadas.
Su Mac conserva un perfil VPN que se niega a eliminarse, o se elimina y vuelve tras un reinicio. Normalmente es una cuestión de gestión, no un cliente dañado. Las comprobaciones siguientes van de la propiedad a la carga útil y a las reglas de reconexión, y cada una puede detenerle antes de que pase una tarde en el panel equivocado. Hágalas en orden; el paso en el que cambia la respuesta es donde termina su parte.
Confirme que el perfil está gestionado, no solo guardado
Abra Ajustes del Sistema y busque Perfiles o Gestión de dispositivos. Según la versión de macOS, la lista está en Privacidad y seguridad (Perfiles) o en General (Gestión de dispositivos). Un perfil que muestra un nombre de organización, una descripción breve y ningún botón menos lo instaló la organización, no lo añadió usted.
Dos comprobaciones en el terminal resuelven la propiedad enseguida. La primera informa de la inscripción, la segunda enumera los perfiles del dispositivo:
sudo profiles status -type enrollment
sudo profiles -PSi la inscripción dice que sí y la lista de perfiles está vacía, no concluya que no hay nada instalado. En Mac gestionados, algunas cargas útiles entregadas por MDM permanecen ocultas a la herramienta profiles mientras siguen activas. El panel Gestión de dispositivos es la vista autorizada de lo que ha enviado la organización, y una lista vacía en la línea de comandos en un Mac inscrito es una contradicción que no debería resolver adivinando.
Lea la carga útil, no el nombre visible
Un perfil VPN es un contenedor, y el nombre visible dice poco sobre lo que hay dentro. Una carga útil puede llevar la dirección del servidor IKEv2, el identificador remoto, el método de autenticación y un certificado con su propio UUID. Una segunda carga útil en el mismo perfil puede aportar el certificado de identidad que necesita el túnel, y por eso un certificado que parece faltar en Keychain puede llegar igualmente por el mismo perfil.
Vuelque las cargas útiles y lea las claves que importan:
sudo profiles show -type configuration | grep -A3 -E "VPNType|ServerAddress|RemoteAddress|AuthenticationMethod|PayloadUUID"Anote los UUID de las cargas útiles antes de cambiar nada. Son los identificadores que un administrador necesita para localizar el objeto exacto, y también le dicen si el túnel y el certificado vienen de la misma fuente o de dos despliegues distintos.
Vigile qué devuelve el túnel
Si el túnel se reinicia solo, el perfil casi con seguridad contiene una regla a petición. Una regla que coincide con cualquier interfaz y la acción Connect inicia el túnel cuando el Wi-Fi se asocia, cuando el Mac sale del reposo o cuando falla una sonda DNS. El cliente no expone ningún interruptor que anule la carga útil.
La lista de servicios y la configuración por servicio vienen de scutil:
scutil --nc list
scutil --nc show "Corporate VPN"En la salida de show, busque OnDemandRules y lea el valor Action de cada entrada. Connect levanta el túnel, Disconnect lo derriba e Ignore deja el estado actual tal cual. Una primera regla que coincide con todo y tiene Connect es la razón habitual de que un túnel no se quede abajo tras desconectarlo.
Si la conexión falta en scutil --nc list, no está instalada como servicio VPN del sistema. Eso apunta a una extensión de red propiedad de una aplicación cliente, donde el perfil quizá solo entregue la configuración de la aplicación y la aplicación decida cuándo conectarse.
Decida si la eliminación le corresponde
Dos mecanismos bloquean el borrado. La carga útil puede establecer PayloadRemovalDisallowed, que hace el perfil no eliminable en la interfaz, y el Mac puede estar supervisado de modo que se rechace de plano eliminar el perfil de gestión. Ninguno es un error, y borrar certificados no relacionados o el perfil de gestión para forzar la situación le deja con un problema mucho mayor que el que tenía al empezar.
| What you see | Likely owner | Next action |
|---|---|---|
| Profile shows an organization name and no minus button | MDM enrollment | Ask the administrator to remove it or change its scope |
| Profile removable, personal IKEv2 settings | You | Remove it from VPN settings and re-add it if you still need it |
| Profile removed, returns after a reboot or check-in | MDM re-push | Request a scope change; deleting it again will not hold |
| Profile removed, tunnel still starts | On Demand rule or app login item | Remove the rule or the login item, then retry |
Para un Mac de trabajo, la vía correcta es el soporte o la baja del administrador. Llévese el identificador del perfil. Un tique que solo diga «el perfil VPN» no basta para que nadie encuentre el objeto al que se refiere.
Reúna pruebas antes de pedir ayuda
Anote cinco cosas: el identificador del perfil, los UUID de las cargas útiles, la versión y compilación de macOS según sw_vers, el subtipo de VPN y el texto exacto del fallo con una marca de tiempo. Añada si el túnel es completo o dividido y si falla al conectar o en el primer acceso a un recurso interno, porque esos dos fallos tienen propietarios distintos.
Para un fallo de extensión de red suele bastar una consulta de registro estrecha:
log show --last 5m --predicate 'process == "nesessionmanager"'Capture las líneas alrededor del intento en lugar de la ventana entera, y tache los nombres de servidor y los sujetos de certificado antes de publicar el resultado en cualquier sitio. La guía de despliegue de Apple explica para qué están pensadas las cargas útiles VPN gestionadas y las reglas a petición, y es un argumento mejor que una captura de pantalla: Resumen de VPN.
Cuando las cinco comprobaciones están hechas, exactamente una de tres cosas es cierta. El perfil no es suyo para eliminarlo, la carga útil reconecta el túnel por diseño, o el cliente mantiene una configuración que el perfil nunca controló. Lleve los identificadores y la cronología a quien posea la inscripción; eso es un tique que alguien puede atender. Volver a pulsar eliminar no lo es.