Dlaczego profil VPN w iOS pozostaje zablokowany i jak go usunąć

Usunięcie wpisu VPN na iPhonie lub iPadzie kończy się niepowodzeniem z jednego z dwóch powodów i żaden nie jest zacinającym się przełącznikiem. Albo wpis zainstalowała usługa zarządzania urządzeniami i przycisk Usuń nigdy nie był twój, albo zainstalowana aplikacja traktuje konfigurację jako swoją i zapisuje ją ponownie przy następnym uruchomieniu. Oba rodzaje leżą prawie w tym samym miejscu w Ustawieniach, więc ludzie usuwają ten sam wiersz trzy razy i obwiniają iOS. Najpierw ustal właściciela obiektu, a potem usuń go tak, jak ten właściciel pozwala.

Dwa obiekty dzielą jeden wiersz w Ustawieniach

VPN utworzony przez aplikację powstaje przez framework NetworkExtension. Aplikacja składa konfigurację w kodzie, zapisuje ją w magazynie systemowym, a iOS wyświetla ją w sekcji VPN z przełącznikiem stanu. Aplikacja pozostaje właścicielem tego rekordu: może go później zaktualizować, dołączyć reguły łączenia na żądanie lub dodać go ponownie po twoim usunięciu. Nowsze wersje iOS proszą o potwierdzenie, gdy aplikacja chce dodać konfigurację VPN, i właśnie w tym oknie przyznawana jest własność.

Profil konfiguracji to inny obiekt. To podpisany plik, zwykle .mobileconfig, który może przenosić ładunek VPN wraz z ustawieniami Wi-Fi, certyfikaty, ograniczenia i konta poczty. Ktoś instaluje go z pobrania lub przez Apple Configurator albo usługa zarządzania go wypycha. Jednostką usuwania jest profil, a nie wiersz VPN. iOS nie oferuje usunięcia jednego ładunku z podpisanego profilu, więc usunięcie zabiera ze sobą wszystko inne w profilu.

Oba wyglądają podobnie na wierzchu i zachowują się zupełnie inaczej, więc porównaj to, co widzisz, z tą tabelą, zanim cokolwiek zmienisz.

Odczytaj właściciela w Ustawieniach

W obecnych wersjach iOS i iPadOS lista jest w Ustawienia, Ogólne, VPN i zarządzanie urządzeniem; starsze wersje nazywały ten sam ekran Profilami. Otwórz profil i przeczytaj ekran szczegółów, zanim czegokolwiek dotkniesz. Wiersz z nazwą organizacji lub słowa Zarządzane przez oznaczają, że profil przyszedł z serwera zarządzania. Przycisk Usuń profil oznacza, że tę instalację można usunąć ręcznie, co jeszcze nie mówi, czy serwer wypchnie ją ponownie przy następnym sprawdzeniu.

Następnie sprawdź sekcję VPN na tym samym ekranie. Wpisy utworzone przez aplikacje pokazują obok nazwę aplikacji, a przycisk informacji otwiera konfigurację z własną opcją Usuń VPN. Wiersz, którego szczegóły wskazują ładunek, a nie aplikację, należy do profilu i trzeba go obsłużyć tam. Wyłączenie przełącznika stanu nie jest usunięciem: konfiguracja pozostaje zapisana, a reguła łączenia na żądanie może podnieść tunel ponownie w chwili, gdy pojawi się pasująca sieć.

Usuń osobistą konfigurację, która ciągle wraca

Otwórz wpis VPN, dotknij przycisku informacji, wybierz Usuń VPN i potwierdź. Jeśli wpis wróci po ponownym uruchomieniu, aplikacja tworzy go od nowa; to zamierzone zachowanie, a nie błąd. Zatrzymaj odtwarzanie u źródła: wyłącz łączenie na żądanie w konfiguracji, odrzuć prośbę o zatwierdzenie, jeśli aplikacja chce ponownie dodać konfigurację, albo odinstaluj aplikację, gdy przestanie być potrzebna. Usuń wpis przed odinstalowaniem, bo odinstalowana aplikacja może zostawić zapisaną konfigurację, którą nic już nie zarządza.

Gdy dostawca dostarczył profil zamiast konfiguracji NetworkExtension, pojawia się on na tej samej liście profili pod nazwą dostawcy. Najpierw usuń profil, potem aplikację. Nie usuwaj niezwiązanych certyfikatów, aby osłabić konfigurację: certyfikat z tej listy może być zaufany dla poczty, Wi-Fi lub witryn wewnętrznych, a jego usunięcie psuje więcej niż tunel.

Gdy zarządzanie urządzeniem trzyma profil

Serwer zarządzania instaluje profil poleceniem instalacji i usuwa go pasującym poleceniem usunięcia. Dopóki to nie nastąpi, profil nie należy do urządzenia, a profil zarządzany, który można usunąć lokalnie, jest zwykle wypychany ponownie przy następnym sprawdzeniu. Wymazanie urządzenia też nie zmienia przypisania. Przy automatycznej rejestracji numer seryjny jest powiązany z organizacją, więc Asystent konfiguracji rejestruje urządzenie ponownie i ten sam profil ląduje, zanim dotrzesz do ekranu głównego.

Wyjście jest administracyjne. Poproś administratora o usunięcie rekordu urządzenia z usługi zarządzania, co kończy rejestrację i zatrzymuje przyszłe instalacje, albo o usunięcie tylko profilu VPN z przypisania, jeśli urządzenie ma pozostać zarządzane bez niego. Dla urządzenia opuszczającego organizację poproś o jedno i drugie: usunięcie rejestracji oraz unieważnienie konta VPN lub certyfikatu. Samo lokalne usunięcie zostawia poświadczenia, które wciąż uwierzytelniają się z kopii profilu gdzie indziej.

Jeśli profil nadal jest na liście po zmianie po stronie serwera, uruchom urządzenie ponownie i przeczytaj listę jeszcze raz, zanim cokolwiek wymażesz. Niektóre usunięcia trafiają dopiero przy następnym sprawdzeniu urządzenia, a restart wymusza tę rozmowę.

Sprawdź i unieważnij to, czego nie zrobiło usunięcie

Gdy wpis zniknie, potwierdź trzy rzeczy po kolei: lista VPN nie zawiera już konfiguracji, lista profili nie pokazuje już profilu, który ją nosił, a restart nie przywraca żadnej z nich. Konfiguracja, która wraca po restarcie, wskazuje właściciela, którego jeszcze nie znalazłeś, a nie nieudane usunięcie. Potem sprawdź dostęp, który chciałeś zakończyć: żądanie do hosta wewnętrznego powinno się nie udać, a obszar stanu powinien pozostać bezczynny.

Usunięcie jest lokalne; unieważnienie nie. Usuń lub wyłącz konto VPN użytkownika na serwerze, unieważnij certyfikat, który nosił profil, i wyczyść zapisane poświadczenia, które aplikacja trzymała w pęku kluczy. Przewodnik Apple dotyczący instalowania i usuwania profili konfiguracji obejmuje ścieżkę na urządzeniu dla każdej wersji iOS; pozostała władza leży po stronie zarządzania. Zapisz, co usunięto, kto to zatwierdził i czy konto unieważniono, bo następna osoba z tym urządzeniem spotka te same dwa obiekty.