iOSのVPNプロファイルがロックされたままになる理由と削除方法

iPhoneやiPadでVPNエントリの削除に失敗する理由は二つあり、どちらもスイッチの不具合ではありません。デバイス管理サービスがインストールしたために削除ボタンがそもそも自分のものではなかったか、まだインストールされているアプリが設定を自分のものとして扱い、次回起動時に書き戻しているかです。どちらも設定のほぼ同じ場所に並ぶため、人は同じ行を三度削除してiOSのせいにします。まず対象の所有者を特定し、その所有者が許す方法で削除してください。

二つの対象が一つの設定行を共有する

アプリが作成したVPNはNetworkExtensionフレームワークで構築されます。アプリはコード内で構成を作成し、システムストアに保存し、iOSはVPNの下に状態スイッチ付きで表示します。アプリはその記録の所有者であり続け、後から更新したり、オンデマンド接続の規則を付けたり、削除後に再追加したりできます。最近のiOSはアプリがVPN構成を追加しようとすると確認を求め、そのダイアログで所有権が与えられます。

構成プロファイルは別の対象です。署名済みファイルで、通常は.mobileconfigであり、VPNペイロードをWi-Fi設定とともに、証明書、制限、メールアカウントを運べます。誰かがダウンロードやApple Configuratorからインストールするか、管理サービスが配信します。削除の単位はプロファイルであり、VPN行ではありません。iOSは署名済みプロファイルから一つのペイロードだけを削除する機能を提供しないため、削除するとプロファイル内の他のすべてを巻き込みます。

両者は表面上似ていて振る舞いは全く異なるので、何かを変える前に見えているものをこの表と照らし合わせてください。

設定で所有者を確認する

現在のiOSとiPadOSでは一覧は設定、一般、VPNとデバイス管理にあります。古い版は同じ画面をプロファイルと呼んでいました。何も触る前にプロファイルを開いて詳細画面を読んでください。組織名の行や管理対象の語があれば管理サーバーから届いたプロファイルで、プロファイルを削除ボタンは手動で削除できるという意味ですが、次の確認時にサーバーが押し戻すかまでは示しません。

次に同じ画面のVPNセクションを確認します。アプリが作成したエントリは横にアプリ名を表示し、情報ボタンを押すと構成が開き、独自のVPNを削除オプションがあります。詳細がアプリではなくペイロードを示す行はプロファイルに属し、そこで扱う必要があります。状態スイッチを切ることは削除ではなく、構成は保存されたままで、オンデマンド接続の規則が一致するネットワークが現れた瞬間にトンネルを再び立ち上げることがあります。

繰り返し戻ってくる個人構成を削除する

VPNエントリを開き、情報ボタンを押し、VPNを削除を選んで確認します。再起動後に戻ってくるならアプリが再作成しており、これは設計された動作でバグではありません。再作成を根本で止めるには、構成内のオンデマンド接続を切り、アプリが構成を再度追加しようとするなら承認のダイアログを断り、不要になったらアプリを削除します。管理するものが何もない保存済み構成を残すことがあるため、アンインストールの前にエントリを削除してください。

ベンダーがNetworkExtension構成ではなくプロファイルを配布した場合、同じプロファイル一覧にベンダー名で現れます。先にプロファイルを、次にアプリを削除します。一覧の証明書はメールやWi-Fi、社内サイトから信頼されている可能性があり、削除するとトンネル以上を壊すため、構成を弱めるために無関係な証明書を削除しないでください。

デバイス管理がプロファイルを保持する場合

管理サーバーはインストールコマンドでプロファイルを配信し、対応する削除コマンドで削除します。それが起きるまで、プロファイルは端末が削除できるものではなく、ローカルで削除できる管理プロファイルは次の確認時に再び配信されるのが普通です。端末を消去しても割り当ては変わりません。自動登録ではシリアル番号が組織に紐づくため、セットアップアシスタントが端末を再登録し、ホーム画面に到達する前に同じプロファイルが入ります。

出口は管理側にあります。管理者にデバイスレコードを管理サービスから削除してもらうと登録が終了し、今後のインストールが止まります。端末を管理下に残すなら、割り当てからVPNプロファイルだけを外してもらいます。組織を離れる端末なら登録の削除とVPNアカウントまたは証明書の失効の両方を求めますが、ローカル削除だけでは別の場所のプロファイル複製から認証できる資格情報が残ります。

サーバー側の変更後もプロファイルが一覧に残るなら、端末を再起動し、何かを消す前に一覧を読み直してください。削除が端末の次の確認時にしか反映されないことがあり、再起動がその会話を強制します。

確認し、削除がしなかったことを失効させる

エントリが消えたら、VPN一覧に構成がないこと、プロファイル一覧にそれを運んだプロファイルがないこと、再起動してもどちらも戻らないことを順に確認します。再起動後に再び現れる構成は、見つけていない所有者を指しており、削除の失敗ではありません。続いて終わらせたかったアクセスを試し、社内ホストへの要求は失敗し、状態領域は動かないはずです。

削除はローカルで、失効はそうではありません。サーバー上で利用者のVPNアカウントを削除または無効化し、プロファイルが運んだ証明書を失効させ、アプリがキーチェーンに保存した資格情報を消します。Appleの構成プロファイルのインストールと削除のガイドは各iOS版の端末上の手順を扱っており、残る権限は管理側にあります。次にこの端末を持つ人が同じ二つの対象に出会うため、何を削除し、誰が承認し、アカウントを失効させたかを記録してください。