Perché un profilo VPN iOS resta bloccato e come rimuoverlo
Una voce VPN iOS appartiene a un'app o a un profilo firmato. Individua il proprietario in Impostazioni, rimuovi l'oggetto giusto e revoca ciò che la cancellazione locale lascia attivo.
Rimuovere una voce VPN su iPhone o iPad fallisce per una di due ragioni, e nessuna delle due è un interruttore bloccato. O la voce è stata installata da un servizio di gestione dispositivi e il pulsante Rimuovi non è mai stato tuo da premere, oppure un'app ancora installata considera la configurazione come propria e la riscrive al lancio successivo. Le due cose stanno quasi nello stesso punto in Impostazioni, così le persone cancellano la stessa riga tre volte e danno la colpa a iOS. Individua prima il proprietario dell'oggetto, poi rimuovilo come quel proprietario consente.
Due oggetti condividono una riga di Impostazioni
Un VPN creato da un'app viene costruito tramite il framework NetworkExtension. L'app assembla una configurazione nel codice, la salva nell'archivio di sistema, e iOS la elenca sotto VPN con un interruttore di stato. L'app resta proprietaria di quel record: può aggiornarlo più tardi, collegarvi regole di connessione su richiesta o aggiungerlo di nuovo dopo che l'hai eliminato. Le versioni recenti di iOS chiedono conferma quando un'app vuole aggiungere una configurazione VPN, ed è in quella richiesta che la proprietà viene concessa.
Un profilo di configurazione è un altro oggetto. È un file firmato, di solito un .mobileconfig, che può trasportare un payload VPN insieme alle impostazioni Wi-Fi, certificati, restrizioni e account di posta. Qualcuno lo installa da un download o tramite Apple Configurator, oppure un servizio di gestione lo spinge. L'unità di rimozione è il profilo, non la riga VPN. iOS non offre di eliminare un singolo payload da un profilo firmato, quindi la rimozione porta via tutto il resto del profilo.
I due si somigliano in superficie e si comportano in modo del tutto diverso, quindi confronta ciò che vedi con questa tabella prima di cambiare qualcosa.
| What you see | Usual owner | Who can remove it |
|---|---|---|
| VPN row with an app name and a status switch | The app, through NetworkExtension | You, in Settings, or the app itself |
| Profile with a VPN payload and a Remove button | You, or whoever handed you the file | You, from the profile screen |
| Profile with no Remove button and an organization name | A management server | The organization that enrolled the device |
Leggere il proprietario in Impostazioni
Nelle versioni attuali di iOS e iPadOS l'elenco è in Impostazioni, Generali, VPN e gestione dispositivi; le versioni precedenti chiamavano la stessa schermata Profili. Apri il profilo e leggi la schermata di dettaglio prima di toccare qualsiasi cosa. Una riga con il nome dell'organizzazione, o le parole Gestito da, significa che il profilo è arrivato da un server di gestione. Un pulsante Rimuovi profilo significa che questa installazione è rimovibile a mano, il che non dice ancora se il server la respingerà al prossimo check-in.
Controlla poi la sezione VPN della stessa schermata. Le voci create dalle app mostrano il nome dell'app accanto, e il pulsante info apre la configurazione con la sua opzione Elimina VPN. Una riga i cui dettagli nominano un payload invece di un'app appartiene a un profilo e va gestita lì. Spegnere l'interruttore di stato non è una rimozione: la configurazione resta salvata, e una regola di connessione su richiesta può sollevare di nuovo il tunnel nel momento in cui compare una rete corrispondente.
Rimuovere una configurazione personale che continua a tornare
Apri la voce VPN, tocca il pulsante info, scegli Elimina VPN e conferma. Se la voce torna dopo un riavvio, l'app la sta ricreando: è un comportamento previsto, non un bug. Ferma la ricreazione alla fonte: disattiva la connessione su richiesta nella configurazione, rifiuta la richiesta di approvazione se l'app vuole aggiungere di nuovo la configurazione, oppure disinstalla l'app quando non ti serve più. Rimuovi la voce prima di disinstallare, perché un'app disinstallata può lasciare una configurazione salvata che nulla gestisce più.
Quando il fornitore ha distribuito un profilo invece di una configurazione NetworkExtension, compare nello stesso elenco profili sotto il nome del fornitore. Rimuovi prima il profilo, poi l'app. Non eliminare certificati estranei per indebolire la configurazione: un certificato in quell'elenco può essere attendibile per posta, Wi-Fi o siti interni, e rimuoverlo rompe più del tunnel.
Quando la gestione dispositivi detiene il profilo
Un server di gestione installa un profilo con un comando di installazione e lo rimuove con un comando di rimozione corrispondente. Finché ciò non accade, il profilo non è del dispositivo da cancellare, e un profilo gestito rimovibile localmente di solito viene respinto al check-in successivo. Anche cancellare il dispositivo non cambia l'assegnazione. Con l'iscrizione automatica il numero di serie è legato all'organizzazione, quindi l'Assistente configurazione iscrive di nuovo il dispositivo e lo stesso profilo arriva prima che tu raggiunga la schermata iniziale.
La via d'uscita è amministrativa. Chiedi all'amministratore di rimuovere il record del dispositivo dal servizio di gestione, il che chiude l'iscrizione e ferma le installazioni future, oppure di eliminare solo il profilo VPN dall'assegnazione se il dispositivo deve restare gestito senza. Per un dispositivo che lascia l'organizzazione, chiedi entrambe le cose: iscrizione rimossa e account VPN o certificato revocato. La sola cancellazione locale lascia credenziali che si autenticano ancora da una copia del profilo altrove.
Se il profilo è ancora elencato dopo la modifica lato server, riavvia il dispositivo e rileggi l'elenco prima di cancellare qualsiasi cosa. Alcune rimozioni arrivano solo al check-in successivo del dispositivo, e un riavvio forza quella conversazione.
Verifica, poi revoca ciò che la rimozione non ha fatto
Una volta sparita la voce, conferma tre cose in ordine: l'elenco VPN non contiene più la configurazione, l'elenco profili non mostra più il profilo che la portava, e un riavvio non riporta nessuno dei due. Una configurazione che riappare dopo un riavvio indica un proprietario che non hai trovato, non una cancellazione fallita. Poi prova l'accesso che volevi chiudere: una richiesta a un host interno dovrebbe fallire, e l'area di stato dovrebbe restare inattiva.
La rimozione è locale; la revoca non lo è. Elimina o disattiva l'account VPN dell'utente sul server, revoca il certificato che il profilo portava e cancella le credenziali salvate che l'app teneva nel portachiavi. La guida di Apple per installare e rimuovere i profili di configurazione copre il percorso sul dispositivo per ogni versione di iOS; l'autorità residua sta dal lato gestione. Annota cosa è stato rimosso, chi lo ha approvato e se l'account è stato revocato, perché la prossima persona che avrà questo dispositivo incontrerà gli stessi due oggetti.