Como remover uma configuração VPN num Mac e o que fica para trás

Remover uma VPN no macOS parece uma única ação e é na realidade pelo menos quatro. O botão nas Definições do Sistema elimina um serviço de rede do repositório de configuração do sistema. Não elimina a aplicação cliente, a extensão de rede que essa aplicação instalou, a credencial que está no seu porta-chaves nem um perfil enviado pela gestão de dispositivos. Saber que objeto é dono de cada sintoma é o que impede que uma VPN removida volte em silêncio.

O que o botão Remover Configuração elimina realmente

Cada VPN que adiciona torna-se um serviço de rede, o mesmo tipo de objeto que o Wi-Fi ou a ponte Thunderbolt. O macOS guarda-os todos aqui: /Library/Preferences/SystemConfiguration/preferences.plist, cada um com um ID de serviço, um nome de apresentação e um dicionário de configuração que descreve o tipo de túnel, o endereço do servidor e a forma como o túnel arranca.

Quando abre Definições do Sistema e VPN, prime o botão de informação ao lado de um serviço, escolhe Remover Configuração e confirma, o macOS para o túnel, elimina esse objeto de serviço e reescreve o repositório. A desmontagem está completa para o que o sistema possui: o serviço desapareceu da lista e nada o inicia ao iniciar sessão.

O que o botão não consegue alcançar é tudo o que pertence a outro subsistema. O pacote da aplicação está aqui: /Applications. Um cliente NetworkExtension corre como uma extensão de sistema registada separadamente da sua configuração. As credenciais são itens do porta-chaves com os controlos de acesso do porta-chaves que as guarda. Um perfil de configuração pertence ao sistema de perfis. Remova o serviço e os quatro ficam exatamente onde estavam.

Liste o que o Mac ainda pensa que está instalado

Faça um inventário antes de apagar seja o que for. Três comandos cobrem as três camadas que produzem a mesma falha visível:

scutil --nc list
networksetup -listallnetworkservices
profiles -P

scutil --nc list é a vista autoritativa das configurações VPN, com o estado da ligação, o nome do serviço e o ID do serviço. Mostra frequentemente entradas que nunca aparecem na lista das definições: serviços restantes de um cliente que desinstalou há meses e configurações a pedido que arrancam em silêncio. networksetup -listallnetworkservices mostra os serviços de rede com os nomes que as ferramentas de linha de comandos esperam, e é disso que precisa para remover por nome. profiles -P lista os perfis de configuração instalados; num Mac gerido, a VPN pode não ser um serviço que adicionou, mas uma carga útil dentro de um desses perfis.

Leia as listas em conjunto em vez de confiar na primeira. scutil mas não nas definições significa normalmente que um cliente de terceiros é dono do túnel e o apresenta na sua própria janela. Um serviço em ambas as vistas que está a cinzento nas definições significa política. Um nome que reaparece depois da remoção significa que algo o recria, e esse algo é o alvo real.

Remova o serviço através do seu dono

Para um serviço que adicionou você mesmo, fique no caminho documentado: Definições do Sistema, VPN, o botão de informação, Remover Configuração. A Apple documenta esse caminho, e ele mantém o repositório de configuração coerente. Editar à mão preferences.plist enquanto a pilha de rede está a correr é como acaba com serviços duplicados ou zombie que nenhuma interface remove.

A partir de um terminal, remova o serviço pelo nome com networksetup -removenetworkservice "Service Name", depois confirme com scutil --nc list. O comando atua sobre a mesma lista de serviços da interface, por isso um nome que não aparece em networksetup -listallnetworkservices não será removido por nenhum dos caminhos. Quando um cliente é dono do túnel, use primeiro o caminho de remoção ou desinstalação desse cliente, porque o cliente reconstrói o serviço no arranque seguinte.

Se a VPN veio da gestão de dispositivos, não é você o dono. Os perfis instalados por MDM podem ser marcados como não removíveis, e mesmo um removível pode ser enviado outra vez na verificação seguinte. Confirme com profiles -P, depois use o processo de saída da sua organização. Apagar a carga útil localmente falha ou provoca uma reinstalação.

Os restos que se voltam a ligar sem serviço

O habitual «voltou» não é o serviço a voltar, mas a extensão que é dona dele. Liste as extensões de sistema registadas e as extensões de aplicação do tipo extensão de rede:

systemextensionsctl list
pluginkit -m -p com.apple.networkextension.packet-tunnel

Um cliente NetworkExtension mantém o seu fornecedor de túnel instalado sob o seu próprio identificador, separado de qualquer configuração. A extensão pode permanecer ativa depois de a configuração desaparecer, e o agente da barra de menus do cliente pode criar uma nova configuração no arranque seguinte, por vezes reutilizando o nome que acabou de apagar. Verifique os itens de início de sessão e o auxiliar do fornecedor aqui: /Library/LaunchDaemons antes de concluir que a remoção falhou.

As credenciais são o segundo resto. Uma palavra-passe ou certificado de cliente guardado no porta-chaves de início de sessão não é apagado com o serviço, e um segredo partilhado IPSec vive historicamente no porta-chaves do Sistema, razão pela qual remover e voltar a adicionar por vezes salta o pedido da palavra-passe. Se o Mac está a sair do seu controlo, localize o item pelo nome do serviço em Acesso às Chaves e revogue a conta, o certificado ou a chave de par que a credencial guardada representa. A copied configuration file is a live credential even after local removal.

Verifique a remoção, e leia corretamente um perfil que regressa

A remoção termina quando o serviço desapareceu de ambas as vistas e continua ausente após um reinício. Verifique scutil --nc list para o ID do serviço, confirme que a resolução de nomes usa o resolvedor esperado com scutil --dns, depois reinicie uma vez, porque as regras a pedido e os agentes de início de sessão são as duas coisas que só se mostram num arranque limpo.

Se ainda estiver lá, não apague mais objetos. Descubra que camada o recriou: um perfil MDM volta a enviar o serviço, um agente cliente reconstrói-o, ou o serviço nunca foi removido porque o nome não coincidia. Essa resposta decide se precisa do desinstalador do fornecedor, da sua equipa de TI ou de outra passagem pela mesma caixa de diálogo de remoção. O guia de remoção da Apple cobre o caminho suportado para os serviços que adicionou; os restos são a parte que tem de verificar sozinho: remove a VPN configuration.