Cómo eliminar una configuración VPN en un Mac y qué queda después

Eliminar una VPN en macOS parece una sola acción y en realidad son al menos cuatro. El botón de Ajustes del Sistema borra un servicio de red del almacén de configuración del sistema. No borra la app cliente, la extensión de red que instaló esa app, la credencial que está en tu llavero ni un perfil enviado por la gestión de dispositivos. Saber qué objeto posee cada síntoma es lo que impide que una VPN eliminada vuelva en silencio.

Qué borra realmente el botón Eliminar configuración

Cada VPN que añades se convierte en un servicio de red, el mismo tipo de objeto que Wi-Fi o Thunderbolt Bridge. macOS los guarda todos en /Library/Preferences/SystemConfiguration/preferences.plist, cada uno con un ID de servicio, un nombre visible y un diccionario de configuración que describe el tipo de túnel, la dirección del servidor y cómo se inicia el túnel.

Cuando abres Ajustes del Sistema, VPN, haces clic en el botón de información junto a un servicio, eliges Eliminar configuración y confirmas, macOS detiene el túnel, elimina ese objeto de servicio y reescribe el almacén. El desmontaje está completo para lo que posee el sistema: el servicio desapareció de la lista y nada lo inicia al iniciar sesión.

Lo que el botón no puede alcanzar es todo lo que posee otro subsistema. El paquete de la app vive en /Applications. Un cliente de NetworkExtension se ejecuta como una extensión de sistema registrada por separado de su configuración. Las credenciales son elementos del llavero con los controles de acceso del llavero que las guarda. Un perfil de configuración pertenece al sistema de perfiles. Elimina el servicio y los cuatro se quedan exactamente donde estaban.

Enumera lo que el Mac todavía cree que está instalado

Haz un inventario antes de borrar nada. Tres comandos cubren las tres capas que producen el mismo fallo visible:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list es la vista autorizada de las configuraciones VPN, con el estado de conexión, el nombre del servicio y el ID de servicio. A menudo muestra entradas que nunca aparecen en la lista de Ajustes: servicios sobrantes de un cliente que desinstalaste hace meses y configuraciones a petición que arrancan en silencio. networksetup -listallnetworkservices muestra los servicios de red con los nombres que esperan las herramientas de línea de comandos, que es lo que necesitas para eliminar por nombre. profiles -P enumera los perfiles de configuración instalados; en un Mac gestionado, la VPN puede no ser un servicio que añadiste, sino una carga útil dentro de uno de esos perfiles.

Lee las listas juntas en lugar de confiar en la primera. Un servicio en scutil pero no en Ajustes suele significar que un cliente de terceros posee el túnel y lo presenta en su propia ventana. Un servicio en ambas vistas que aparece en gris en Ajustes significa política. Un nombre que reaparece tras el borrado significa que algo lo recrea, y ese algo es el objetivo real.

Elimina el servicio a través de su propietario

Para un servicio que añadiste tú mismo, quédate en la ruta documentada: Ajustes del Sistema, VPN, el botón de información, Eliminar configuración. Apple documenta ese flujo y mantiene coherente el almacén de configuración. Editar preferences.plist a mano mientras la pila de red se ejecuta es cómo acabas con servicios duplicados o zombis que ninguna interfaz eliminará.

Desde una terminal, elimina el servicio por nombre con networksetup -removenetworkservice "Service Name" y luego confirma con scutil --nc list. El comando actúa sobre la misma lista de servicios que la interfaz, así que un nombre que no aparece en networksetup -listallnetworkservices no se eliminará por ninguna de las dos rutas. Cuando un cliente posee el túnel, usa primero la ruta de eliminación o desinstalación de ese cliente, porque el cliente reconstruye el servicio la próxima vez que se inicia.

Si la VPN vino de la gestión de dispositivos, no eres el propietario. Los perfiles instalados por MDM pueden marcarse como no eliminables, e incluso uno eliminable puede volver a enviarse en la próxima comprobación. Confirma con profiles -P y luego usa el proceso de baja de tu organización. Borrar la carga útil localmente o falla o provoca una reinstalación.

Los restos que se reconectan sin un servicio

El informe habitual de «ha vuelto» no es el servicio que regresa sino la extensión que lo posee. Enumera las extensiones de sistema registradas y las extensiones de app de extensión de red:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

Un cliente de NetworkExtension mantiene su proveedor de túnel instalado bajo su propio identificador, separado de cualquier configuración. La extensión puede seguir activa después de que la configuración desaparezca, y el agente de barra de menús del cliente puede crear una configuración nueva la próxima vez que se inicie, a veces reutilizando el nombre que acabas de borrar. Revisa los elementos de inicio de sesión y el asistente del proveedor en /Library/LaunchDaemons antes de concluir que la eliminación falló.

Las credenciales son el segundo resto. Una contraseña guardada o un certificado de cliente en el llavero de inicio de sesión no se borra con el servicio, y un secreto compartido de IPSec vive históricamente en el llavero del Sistema, por eso eliminar y volver a añadir a veces omite la petición de contraseña. Si el Mac sale de tu control, localiza el elemento por el nombre del servicio en Acceso a Llaveros y revoca la cuenta, el certificado o la clave de par que representa la credencial guardada. Un archivo de configuración copiado es una credencial viva incluso después de la eliminación local.

Verifica la eliminación y lee correctamente un perfil que vuelve

La eliminación termina cuando el servicio desaparece de ambas vistas y sigue ausente tras un reinicio. Comprueba scutil --nc list para el ID de servicio, confirma que la resolución de nombres usa el resolutor que esperas con scutil --dns y reinicia una vez, porque las reglas a petición y los agentes de inicio de sesión son las dos cosas que solo se muestran en un arranque limpio.

Si sigue ahí, no borres más objetos. Averigua qué capa lo recreó: un perfil MDM vuelve a enviar el servicio, un agente de cliente lo reconstruye o el servicio nunca se eliminó porque el nombre no coincidía. Esa respuesta decide si necesitas el desinstalador del proveedor, tu equipo de TI u otra pasada por el mismo diálogo de eliminación. La guía de eliminación de Apple cubre la ruta admitida para los servicios que añadiste; los restos son la parte que debes comprobar tú mismo: eliminar una configuración VPN.