Waarom een iOS-VPN-profiel vergrendeld blijft en hoe je het verwijdert

Het verwijderen van een VPN-vermelding op een iPhone of iPad mislukt om een van twee redenen, en geen van beide is een vastgelopen schakelaar. Ofwel is de vermelding geïnstalleerd door een apparaatbeheerdienst en was de knop Verwijderen nooit voor jou bedoeld, ofwel beschouwt een app die je nog hebt geïnstalleerd de configuratie als de hare en schrijft die bij de volgende start terug. Beide soorten staan bijna op dezelfde plek in Instellingen, dus mensen verwijderen dezelfde rij drie keer en geven iOS de schuld. Stel eerst de eigenaar van het object vast en verwijder het dan zoals die eigenaar het toestaat.

Twee objecten delen één rij in Instellingen

Een door een app gemaakt VPN wordt opgebouwd via het NetworkExtension-framework. De app stelt een configuratie in code samen, slaat die op in de systeemopslag, en iOS toont die onder VPN met een statusschakelaar. De app blijft eigenaar van dat record: ze kan het later bijwerken, regels voor verbinden op verzoek toevoegen of het na jouw verwijdering opnieuw toevoegen. Recente iOS-versies vragen om bevestiging wanneer een app een VPN-configuratie wil toevoegen, en in dat venster wordt het eigenaarschap verleend.

Een configuratieprofiel is een ander object. Het is een ondertekend bestand, meestal een .mobileconfig, dat een VPN-payload samen met wifi-instellingen, certificaten, beperkingen en mailaccounts kan bevatten. Iemand installeert het via een download of via Apple Configurator, of een beheerdienst duwt het erin. Het profiel is de eenheid van verwijderen, niet de VPN-rij. iOS biedt niet aan één payload uit een ondertekend profiel te verwijderen, dus verwijderen neemt alles mee wat verder in dat profiel zit.

De twee lijken op het hoogste niveau op elkaar en gedragen zich totaal anders, dus vergelijk wat je ziet met deze tabel voordat je iets wijzigt.

Lees de eigenaar af in Instellingen

In huidige iOS- en iPadOS-versies staat de lijst onder Instellingen, Algemeen, VPN en apparaatbeheer; oudere versies noemden hetzelfde scherm Profielen. Open het profiel en lees het detailscherm voordat je iets aanraakt. Een regel met de naam van de organisatie, of de woorden Beheerd door, betekent dat het profiel van een beheerserver kwam. Een knop Profiel verwijderen betekent dat deze installatie met de hand verwijderbaar is, wat nog niet zegt of de server het bij de volgende check-in terugduwt.

Controleer dan het VPN-gedeelte van datzelfde scherm. Door apps gemaakte vermeldingen tonen de appnaam ernaast, en de infoknop opent de configuratie met een eigen optie VPN verwijderen. Een rij waarvan de details een payload in plaats van een app noemen, hoort bij een profiel en moet daar worden behandeld. De statusschakelaar uitzetten is geen verwijderen: de configuratie blijft opgeslagen, en een regel voor verbinden op verzoek kan de tunnel weer opzetten zodra een passend netwerk verschijnt.

Een persoonlijke configuratie verwijderen die blijft terugkomen

Open de VPN-vermelding, tik op de infoknop, kies VPN verwijderen en bevestig. Staat de vermelding na een herstart weer terug, dan maakt de app die opnieuw aan; dat is bedoeld gedrag en geen fout. Stop het opnieuw aanmaken bij de bron: zet verbinden op verzoek uit in de configuratie, weiger het goedkeuringsvenster als de app de configuratie opnieuw wil toevoegen, of verwijder de app zodra je die niet meer nodig hebt. Verwijder de vermelding vóór het verwijderen van de app, want een verwijderde app kan een opgeslagen configuratie achterlaten waar niets meer voor zorgt.

Wanneer de leverancier een profiel heeft geleverd in plaats van een NetworkExtension-configuratie, verschijnt het in dezelfde profielenlijst onder de naam van de leverancier. Verwijder eerst het profiel en dan de app. Verwijder geen andere certificaten om de configuratie te verzwakken: een certificaat in die lijst kan vertrouwd worden door mail, wifi of interne sites, en het verwijderen ervan breekt meer dan de tunnel.

Wanneer apparaatbeheer het profiel vasthoudt

Een beheerserver installeert een profiel met een installatieopdracht en verwijdert het met een bijpassende verwijderopdracht. Tot dat gebeurt is het profiel niet aan het apparaat om te verwijderen, en een beheerd profiel dat lokaal verwijderd kan worden, wordt bij de volgende check-in meestal opnieuw gepusht. Het apparaat wissen verandert de toewijzing evenmin. Bij automatische inschrijving is het serienummer aan de organisatie gebonden, dus Setup Assistant schrijft het apparaat opnieuw in en hetzelfde profiel staat erop voordat je het beginscherm bereikt.

De uitweg is administratief. Vraag de beheerder het apparaatrecord uit de beheerdienst te verwijderen, wat de inschrijving beëindigt en toekomstige installaties stopt, of alleen het VPN-profiel uit de toewijzing te halen als het apparaat zonder dat beheerd moet blijven. Voor een apparaat dat de organisatie verlaat, vraag je beide: de inschrijving verwijderd en het VPN-account of certificaat ingetrokken. Alleen lokaal verwijderen laat inloggegevens achter die zich vanuit een kopie van het profiel elders nog steeds authenticeren.

Staat het profiel na de wijziging aan de serverkant nog in de lijst, herstart het apparaat en lees de lijst opnieuw voordat je iets wist. Sommige verwijderingen landen pas bij de volgende check-in van het apparaat, en een herstart dwingt dat gesprek af.

Controleer en trek in wat verwijderen niet deed

Nu de vermelding weg is, bevestig je drie dingen in deze volgorde: de VPN-lijst bevat de configuratie niet meer, de profielenlijst toont het profiel dat die droeg niet meer, en een herstart brengt geen van beide terug. Een configuratie die na een herstart terugkomt, wijst op een eigenaar die je nog niet hebt gevonden, niet op een mislukte verwijdering. Test dan de toegang die je wilde beëindigen: een verzoek aan een interne host hoort te mislukken, en het statusgebied hoort inactief te blijven.

Verwijderen is lokaal; intrekken is dat niet. Verwijder of schakel het VPN-account van de gebruiker op de server uit, trek het certificaat in dat het profiel droeg, en wis opgeslagen inloggegevens die de app in de sleutelhanger bewaarde. Apples handleiding voor het installeren en verwijderen van configuratieprofielen behandelt de weg op het apparaat voor elke iOS-versie; de beheerkant is waar het resterende gezag zit. Leg vast wat is verwijderd, wie het heeft goedgekeurd en of het account is ingetrokken, want de volgende persoon met dit apparaat komt dezelfde twee objecten tegen.