Por que um perfil VPN do iOS fica bloqueado e como removê-lo

Remover uma entrada VPN num iPhone ou iPad falha por uma de duas razões, e nenhuma delas é um interruptor travado. Ou a entrada foi instalada por um serviço de gestão de dispositivos e o botão Remover nunca foi seu para premir, ou um app que ainda tem instalado trata a configuração como sua e volta a escrevê-la no arranque seguinte. Os dois tipos ficam quase no mesmo lugar nos Ajustes, por isso as pessoas apagam a mesma linha três vezes e culpam o iOS. Identifique primeiro o proprietário do objeto e remova-o depois como esse proprietário permite.

Dois objetos partilham uma linha dos Ajustes

Uma VPN criada por um app é construída através da framework NetworkExtension. O app monta uma configuração em código, guarda-a no armazenamento do sistema, e o iOS lista-a em VPN com um interruptor de estado. O app continua a ser dono desse registo: pode atualizá-lo mais tarde, anexar regras de ligação a pedido ou voltar a adicioná-lo depois de o apagar. As versões recentes do iOS pedem confirmação quando um app quer adicionar uma configuração VPN, e é nesse aviso que a propriedade é concedida.

Um perfil de configuração é outro objeto. É um ficheiro assinado, normalmente um .mobileconfig, que pode transportar um payload VPN juntamente com definições de Wi-Fi, certificados, restrições e contas de correio. Alguém o instala a partir de um download ou através do Apple Configurator, ou um serviço de gestão empurra-o. A unidade de remoção é o perfil, não a linha VPN. O iOS não oferece apagar um único payload de um perfil assinado, por isso a remoção leva tudo o resto do perfil.

Os dois parecem iguais à superfície e comportam-se de forma totalmente diferente, por isso compare o que vê com esta tabela antes de mudar seja o que for.

Ler o proprietário nos Ajustes

Nas versões atuais do iOS e do iPadOS a lista está em Ajustes, Geral, VPN e Gestão de Dispositivos; versões antigas chamavam a este mesmo ecrã Perfis. Abra o perfil e leia o ecrã de detalhe antes de tocar em nada. Uma linha com o nome da organização, ou as palavras Gerido por, significa que o perfil veio de um servidor de gestão. Um botão Remover Perfil significa que esta instalação pode ser removida à mão, o que ainda não diz se o servidor a vai empurrar de novo na próxima verificação.

Verifique depois a secção VPN desse mesmo ecrã. As entradas criadas por apps mostram o nome do app ao lado, e o botão de informação abre a configuração com a sua própria opção Apagar VPN. Uma linha cujos detalhes nomeiam um payload em vez de um app pertence a um perfil e tem de ser tratada aí. Desligar o interruptor de estado não é remover: a configuração continua guardada, e uma regra de ligação a pedido pode levantar o túnel outra vez no momento em que aparecer uma rede correspondente.

Remover uma configuração pessoal que não para de voltar

Abra a entrada VPN, toque no botão de informação, escolha Apagar VPN e confirme. Se a entrada voltar após um reinício, o app está a recriá-la; é comportamento previsto e não um erro. Pare a recriação na origem: desligue a ligação a pedido na configuração, recuse o aviso de aprovação se o app quiser adicionar a configuração outra vez, ou desinstale o app quando já não precisar dele. Remova a entrada antes de desinstalar, porque um app desinstalado pode deixar uma configuração guardada que nada geri.

Quando o fornecedor entregou um perfil em vez de uma configuração NetworkExtension, ele aparece na mesma lista de perfis com o nome do fornecedor. Remova primeiro o perfil e depois o app. Não apague certificados alheios para enfraquecer a configuração: um certificado dessa lista pode ser de confiança para correio, Wi-Fi ou sites internos, e removê-lo quebra mais do que o túnel.

Quando a gestão de dispositivos detém o perfil

Um servidor de gestão instala um perfil com um comando de instalação e remove-o com um comando de remoção correspondente. Até isso acontecer, o perfil não é do dispositivo para apagar, e um perfil gerido que pode ser removido localmente é normalmente empurrado de novo na verificação seguinte. Apagar o dispositivo também não altera a atribuição. Com a inscrição automática o número de série está ligado à organização, por isso o Assistente de Configuração inscreve o dispositivo outra vez e o mesmo perfil cai antes de chegar ao ecrã inicial.

A saída é administrativa. Peça ao administrador que remova o registo do dispositivo do serviço de gestão, o que encerra a inscrição e trava instalações futuras, ou que apague apenas o perfil VPN da atribuição se o dispositivo deve continuar gerido sem ele. Para um dispositivo que sai da organização, peça as duas coisas: a inscrição removida e a conta VPN ou o certificado revogados. A exclusão local sozinha deixa credenciais que ainda se autenticam a partir de uma cópia do perfil noutro sítio.

Se o perfil ainda estiver na lista depois da alteração no servidor, reinicie o dispositivo e leia a lista outra vez antes de apagar o que quer que seja. Algumas remoções só chegam na verificação seguinte do dispositivo, e um reinício força essa conversa.

Verificar e revogar o que a remoção não fez

Depois de a entrada desaparecer, confirme três coisas por ordem: a lista VPN já não contém a configuração, a lista de perfis já não mostra o perfil que a transportava, e um reinício não traz nenhuma das duas de volta. Uma configuração que reaparece após um reinício aponta para um proprietário que ainda não encontrou, não para uma eliminação falhada. Teste depois o acesso que queria terminar: um pedido a um anfitrião interno deve falhar, e a área de estado deve ficar inativa.

A remoção é local; a revogação não é. Apague ou desative a conta VPN do utilizador no servidor, revogue o certificado que o perfil transportava e limpe as credenciais guardadas que o app mantinha no porta-chaves. O guia da Apple para instalar e remover perfis de configuração cobre o caminho no dispositivo para cada versão do iOS; a autoridade restante está do lado da gestão. Registe o que foi removido, quem o aprovou e se a conta foi revogada, porque a próxima pessoa com este dispositivo encontra os mesmos dois objetos.