Come rimuovere una configurazione VPN su Mac e cosa resta

Rimuovere una VPN su macOS sembra un’unica azione ed è in realtà almeno quattro. Il pulsante in Impostazioni di Sistema elimina un servizio di rete dall’archivio delle configurazioni del sistema. Non elimina l’app client, l’estensione di rete installata da quell’app, la credenziale che risiede nel portachiavi né un profilo inviato dalla gestione dei dispositivi. Sapere quale oggetto possiede ogni sintomo è ciò che impedisce a una VPN rimossa di tornare in silenzio.

Cosa elimina davvero il pulsante Rimuovi configurazione

Ogni VPN che aggiungi diventa un servizio di rete, lo stesso tipo di oggetto del Wi-Fi o del ponte Thunderbolt. macOS li conserva tutti qui: /Library/Preferences/SystemConfiguration/preferences.plist, ciascuno con un ID servizio, un nome visualizzato e un dizionario di configurazione che descrive il tipo di tunnel, l’indirizzo del server e come il tunnel si avvia.

Quando apri Impostazioni di Sistema e VPN, premi il pulsante di informazioni accanto a un servizio, scegli Rimuovi configurazione e confermi, macOS arresta il tunnel, elimina quell’oggetto servizio e riscrive l’archivio. Lo smontaggio è completo per ciò che possiede il sistema: il servizio è sparito dall’elenco e nulla lo avvia all’accesso.

Ciò che il pulsante non può raggiungere è tutto ciò che appartiene a un altro sottosistema. Il pacchetto dell’app si trova qui: /Applications. Un client NetworkExtension viene eseguito come estensione di sistema registrata separatamente dalla sua configurazione. Le credenziali sono elementi del portachiavi con i controlli di accesso del portachiavi che le contiene. Un profilo di configurazione appartiene al sistema dei profili. Rimuovi il servizio e tutti e quattro restano esattamente dove erano.

Elenca ciò che il Mac crede ancora installato

Fai un inventario prima di cancellare qualsiasi cosa. Tre comandi coprono i tre livelli che producono lo stesso guasto visibile:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list è la vista autorevole delle configurazioni VPN, con stato della connessione, nome del servizio e ID del servizio. Spesso mostra voci che non compaiono mai nell’elenco delle impostazioni: servizi residui di un client disinstallato mesi fa e configurazioni su richiesta che partono in silenzio. networksetup -listallnetworkservices mostra i servizi di rete con i nomi attesi dagli strumenti da riga di comando, ed è ciò che serve per rimuovere per nome. profiles -P elenca i profili di configurazione installati; su un Mac gestito la VPN potrebbe non essere un servizio che hai aggiunto tu, ma un payload dentro uno di quei profili.

Leggi gli elenchi insieme invece di fidarti del primo. Un servizio in scutil ma non nelle impostazioni di solito significa che un client di terze parti possiede il tunnel e lo presenta nella propria finestra. Un servizio in entrambe le viste ma in grigio nelle impostazioni significa criterio. Un nome che riappare dopo la rimozione significa che qualcosa lo ricrea, e quel qualcosa è il vero obiettivo.

Rimuovi il servizio tramite il suo proprietario

Per un servizio che hai aggiunto tu, resta sul percorso documentato: Impostazioni di Sistema, VPN, il pulsante di informazioni, Rimuovi configurazione. Apple documenta quel percorso, e mantiene coerente l’archivio delle configurazioni. Modificare a mano preferences.plist mentre lo stack di rete è in esecuzione è il modo per ritrovarti con servizi duplicati o zombie che nessuna interfaccia rimuoverà.

Da un terminale, rimuovi il servizio per nome con networksetup -removenetworkservice "Service Name", poi conferma con scutil --nc list. Il comando agisce sullo stesso elenco di servizi dell’interfaccia, quindi un nome che non compare in networksetup -listallnetworkservices non verrà rimosso da nessuno dei due percorsi. Quando un client possiede il tunnel, usa prima il percorso di rimozione o disinstallazione di quel client, perché il client ricostruisce il servizio alla successiva esecuzione.

Se la VPN proviene dalla gestione dei dispositivi, non sei tu il proprietario. I profili installati da un MDM possono essere contrassegnati come non rimovibili, e anche uno rimovibile può essere inviato di nuovo al prossimo check-in. Conferma con profiles -P, poi usa il processo di offboarding della tua organizzazione. Cancellare il payload localmente fallisce o attiva una reinstallazione.

I residui che si riconnettono senza servizio

Il solito resoconto «è tornato» non è il servizio che torna ma l’estensione che lo possiede. Elenca le estensioni di sistema registrate e le estensioni d’app di tipo estensione di rete:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

Un client NetworkExtension tiene installato il suo provider di tunnel sotto il proprio identificatore, separato da qualsiasi configurazione. L’estensione può restare attiva dopo che la configurazione è sparita, e l’agente della barra dei menu del client può creare una nuova configurazione alla successiva partenza, a volte riutilizzando il nome appena cancellato. Controlla gli elementi di accesso e l’helper del fornitore qui: /Library/LaunchDaemons prima di concludere che la rimozione è fallita.

Le credenziali sono il secondo residuo. Una password o un certificato client salvato nel portachiavi di accesso non viene cancellato con il servizio, e un segreto condiviso IPSec vive storicamente nel portachiavi di Sistema, ed è per questo che rimuovere e riaggiungere a volte salta la richiesta della password. Se il Mac esce dal tuo controllo, individua l’elemento per nome del servizio in Accesso Portachiavi e revoca l’account, il certificato o la chiave peer che la credenziale salvata rappresenta. A copied configuration file is a live credential even after local removal.

Verifica la rimozione e leggi correttamente un profilo che ritorna

La rimozione è finita quando il servizio è sparito da entrambe le viste e resta assente dopo un riavvio. Controlla scutil --nc list per l’ID del servizio, conferma che la risoluzione dei nomi usi il resolver atteso con scutil --dns, poi riavvia una volta, perché le regole su richiesta e gli agenti di accesso sono le due cose che si mostrano solo a un avvio pulito.

Se è ancora lì, non cancellare altri oggetti. Stabilisci quale livello l’ha ricreato: un profilo MDM invia di nuovo il servizio, un agente client lo ricostruisce, o il servizio non è mai stato rimosso perché il nome non corrispondeva. Quella risposta decide se ti serve il disinstallatore del fornitore, il tuo team IT o un altro passaggio nella stessa finestra di rimozione. La guida di Apple alla rimozione copre il percorso supportato per i servizi che hai aggiunto; i residui sono la parte che devi controllare da te: remove a VPN configuration.