Pourquoi un profil VPN iOS reste verrouillé, et comment le supprimer

Supprimer une entrée VPN sur un iPhone ou un iPad échoue pour l'une de deux raisons, et aucune n'est un interrupteur bloqué. Soit l'entrée a été installée par un service de gestion d'appareils et le bouton Supprimer n'a jamais été à vous, soit une app encore installée considère la configuration comme la sienne et la réécrit au prochain lancement. Les deux se trouvent presque au même endroit dans Réglages, alors les gens suppriment trois fois la même ligne et accusent iOS. Identifiez d'abord le propriétaire de l'objet, puis supprimez-le comme ce propriétaire l'autorise.

Deux objets partagent une ligne de Réglages

Un VPN créé par une app est construit via le framework NetworkExtension. L'app assemble une configuration en code, l'enregistre dans le stockage système, et iOS l'affiche sous VPN avec un interrupteur d'état. L'app reste propriétaire de cet enregistrement : elle peut le mettre à jour plus tard, y attacher des règles de connexion à la demande ou le rajouter après votre suppression. Les versions récentes d'iOS demandent confirmation quand une app veut ajouter une configuration VPN, et c'est dans cette invite que la propriété est accordée.

Un profil de configuration est un autre objet. C'est un fichier signé, généralement un .mobileconfig, qui peut porter une charge VPN avec les réglages Wi-Fi, des certificats, des restrictions et des comptes de messagerie. Quelqu'un l'installe depuis un téléchargement ou via Apple Configurator, ou un service de gestion le pousse. C'est le profil qui est l'unité de suppression, pas la ligne VPN. iOS ne propose pas de supprimer une seule charge d'un profil signé, donc la suppression emporte tout le reste du profil.

Les deux se ressemblent en surface et se comportent très différemment, alors comparez ce que vous voyez à ce tableau avant de changer quoi que ce soit.

Lire le propriétaire dans Réglages

Sur les versions actuelles d'iOS et d'iPadOS, la liste se trouve dans Réglages, Général, VPN et gestion de l'appareil ; les anciennes versions appelaient ce même écran Profils. Ouvrez le profil et lisez l'écran de détail avant de toucher à quoi que ce soit. Une ligne nommant l'organisation, ou les mots Géré par, signifie que le profil vient d'un serveur de gestion. Un bouton Supprimer le profil signifie que cette installation est supprimable à la main, ce qui ne dit pas encore si le serveur la repoussera au prochain point de contrôle.

Vérifiez ensuite la section VPN du même écran. Les entrées créées par des apps affichent le nom de l'app à côté, et le bouton d'information ouvre la configuration avec sa propre option Supprimer le VPN. Une ligne dont les détails nomment une charge plutôt qu'une app appartient à un profil et doit être traitée là. Désactiver l'interrupteur d'état n'est pas une suppression : la configuration reste enregistrée, et une règle de connexion à la demande peut remonter le tunnel dès qu'un réseau correspondant apparaît.

Supprimer une configuration personnelle qui revient sans cesse

Ouvrez l'entrée VPN, touchez le bouton d'information, choisissez Supprimer le VPN et confirmez. Si l'entrée revient après un redémarrage, l'app la recrée ; c'est un comportement voulu, pas un bug. Arrêtez la recréation à la source : désactivez la connexion à la demande dans la configuration, refusez l'invite d'approbation si l'app veut rajouter la configuration, ou désinstallez l'app quand vous n'en avez plus besoin. Supprimez l'entrée avant de désinstaller, car une app désinstallée peut laisser une configuration enregistrée que plus rien ne gère.

Quand l'éditeur a livré un profil au lieu d'une configuration NetworkExtension, il apparaît dans la même liste de profils sous le nom de l'éditeur. Supprimez d'abord le profil, puis l'app. Ne supprimez pas de certificats sans rapport pour affaiblir la configuration : un certificat de cette liste peut être approuvé par le mail, le Wi-Fi ou des sites internes, et le retirer casse plus que le tunnel.

Quand la gestion d'appareils détient le profil

Un serveur de gestion installe un profil avec une commande d'installation et le supprime avec une commande de suppression correspondante. Tant que cela n'a pas eu lieu, le profil n'est pas à l'appareil, et un profil géré supprimable localement est généralement repoussé au prochain point de contrôle. Effacer l'appareil ne change pas non plus l'affectation. Avec l'enrôlement automatique, le numéro de série est lié à l'organisation, donc l'Assistant réglages réenrôle l'appareil et le même profil arrive avant que vous n'atteigniez l'écran d'accueil.

La sortie est administrative. Demandez à l'administrateur de retirer l'enregistrement de l'appareil du service de gestion, ce qui met fin à l'enrôlement et arrête les installations futures, ou de supprimer seulement le profil VPN de l'affectation si l'appareil doit rester géré sans lui. Pour un appareil qui quitte l'organisation, demandez les deux : l'enrôlement retiré et le compte VPN ou le certificat révoqué. La suppression locale seule laisse des identifiants qui s'authentifient encore depuis une copie du profil ailleurs.

Si le profil est toujours listé après la modification côté serveur, redémarrez l'appareil et relisez la liste avant d'effacer quoi que ce soit. Certaines suppressions n'arrivent qu'au prochain point de contrôle de l'appareil, et un redémarrage force cette conversation.

Vérifier, puis révoquer ce que la suppression n'a pas fait

Une fois l'entrée disparue, confirmez trois choses dans l'ordre : la liste VPN ne contient plus la configuration, la liste des profils ne montre plus le profil qui la portait, et un redémarrage ne ramène ni l'un ni l'autre. Une configuration qui réapparaît après un redémarrage indique un propriétaire que vous n'avez pas trouvé, pas une suppression ratée. Testez ensuite l'accès que vous vouliez terminer : une requête vers un hôte interne doit échouer, et la zone d'état doit rester inactive.

La suppression est locale ; la révocation ne l'est pas. Supprimez ou désactivez le compte VPN de l'utilisateur sur le serveur, révoquez le certificat que portait le profil, et effacez les identifiants enregistrés que l'app gardait dans le trousseau. Le guide d'Apple pour installer et supprimer des profils de configuration couvre le chemin sur l'appareil pour chaque version d'iOS ; l'autorité restante se trouve côté gestion. Notez ce qui a été supprimé, qui l'a approuvé et si le compte a été révoqué, car la personne suivante qui tiendra cet appareil rencontrera les deux mêmes objets.