Почему профиль VPN в iOS остаётся заблокированным и как его удалить

Удаление записи VPN на iPhone или iPad не удаётся по одной из двух причин, и ни одна из них не заевший переключатель. Либо запись установила служба управления устройствами, и кнопка Удалить никогда не была вашей, либо установленное приложение считает конфигурацию своей и возвращает её при следующем запуске. Оба вида лежат почти в одном месте в Настройках, поэтому люди трижды удаляют одну и ту же строку и винят iOS. Сначала определите владельца объекта, затем удалите его так, как этот владелец позволяет.

Два объекта делят одну строку в Настройках

VPN, созданный приложением, строится через фреймворк NetworkExtension. Приложение собирает конфигурацию в коде, сохраняет её в системном хранилище, а iOS показывает её в разделе VPN с переключателем состояния. Приложение остаётся владельцем записи: оно может позже обновить её, прикрепить правила подключения по требованию или добавить снова после вашего удаления. Новые версии iOS запрашивают подтверждение, когда приложение хочет добавить конфигурацию VPN, и именно в этом запросе выдаётся право владения.

Профиль конфигурации — другой объект. Это подписанный файл, обычно .mobileconfig, который может нести полезную нагрузку VPN вместе с настройками Wi-Fi, сертификаты, ограничения и почтовые учётные записи. Кто-то устанавливает его из загрузки или через Apple Configurator, либо служба управления рассылает его. Единица удаления — профиль, а не строка VPN. iOS не предлагает удалить одну нагрузку из подписанного профиля, поэтому удаление уносит всё остальное в профиле.

Внешне они похожи, но ведут себя совершенно по-разному, поэтому сверьте то, что видите, с этой таблицей, прежде чем что-то менять.

Прочитать владельца в Настройках

В текущих версиях iOS и iPadOS список находится в Настройки, Основные, VPN и управление устройством; старые версии называли этот экран Профили. Откройте профиль и прочитайте экран сведений, прежде чем что-либо трогать. Строка с названием организации или слова Управляется означают, что профиль пришёл с сервера управления. Кнопка Удалить профиль означает, что установку можно удалить вручную, но это ещё не говорит, вернёт ли сервер её при следующей проверке.

Затем проверьте раздел VPN на том же экране. Записи, созданные приложениями, показывают рядом название приложения, а кнопка информации открывает конфигурацию с собственной опцией Удалить VPN. Строка, в сведениях которой указана нагрузка, а не приложение, принадлежит профилю и должна решаться там. Выключение переключателя состояния не является удалением: конфигурация остаётся сохранённой, а правило подключения по требованию может снова поднять туннель в тот момент, когда появится подходящая сеть.

Удалить личную конфигурацию, которая возвращается

Откройте запись VPN, коснитесь кнопки информации, выберите Удалить VPN и подтвердите. Если запись возвращается после перезапуска, приложение создаёт её заново; это задуманное поведение, а не ошибка. Остановите воссоздание у источника: отключите подключение по требованию в конфигурации, отклоните запрос на подтверждение, если приложение хочет снова добавить конфигурацию, или удалите приложение, когда оно больше не нужно. Удалите запись до деинсталляции, потому что удалённое приложение может оставить сохранённую конфигурацию, которой больше нечем управлять.

Когда поставщик прислал профиль вместо конфигурации NetworkExtension, он появляется в том же списке профилей под именем поставщика. Сначала удалите профиль, затем приложение. Не удаляйте посторонние сертификаты, чтобы ослабить конфигурацию: сертификату в этом списке могут доверять почта, Wi-Fi или внутренние сайты, и его удаление ломает больше, чем туннель.

Когда профилем владеет управление устройством

Сервер управления устанавливает профиль командой установки и удаляет его соответствующей командой удаления. Пока этого не произошло, профиль не принадлежит устройству для удаления, а управляемый профиль, который можно удалить локально, обычно возвращается при следующей проверке. Стирание устройства тоже не меняет назначение. При автоматической регистрации серийный номер привязан к организации, поэтому Ассистент настройки снова регистрирует устройство, и тот же профиль оказывается на нём раньше, чем вы дойдёте до домашнего экрана.

Выход административный. Попросите администратора удалить запись устройства из службы управления, что завершает регистрацию и останавливает будущие установки, или удалить только профиль VPN из назначения, если устройство должно оставаться управляемым без него. Для устройства, покидающего организацию, просите и то и другое: регистрацию удалить, а учётную запись VPN или сертификат отозвать. Одно локальное удаление оставляет учётные данные, которые всё ещё проходят проверку по копии профиля в другом месте.

Если профиль всё ещё в списке после изменения на сервере, перезагрузите устройство и перечитайте список, прежде чем что-либо стирать. Некоторые удаления срабатывают только при следующей проверке устройства, а перезагрузка форсирует этот разговор.

Проверить и отозвать то, чего не сделало удаление

Когда запись исчезла, подтвердите три вещи по порядку: список VPN больше не содержит конфигурацию, список профилей больше не показывает профиль, который её нёс, а перезагрузка не возвращает ни то ни другое. Конфигурация, которая появляется снова после перезагрузки, указывает на владельца, которого вы ещё не нашли, а не на неудачное удаление. Затем проверьте доступ, который вы хотели прекратить: запрос к внутреннему хосту должен завершиться неудачей, а область состояния должна оставаться бездейной.

Удаление локально; отзыв — нет. Удалите или отключите учётную запись VPN пользователя на сервере, отзовите сертификат, который нёс профиль, и очистите сохранённые учётные данные, которые приложение держало в связке ключей. Руководство Apple по установке и удалению профилей конфигурации охватывает путь на устройстве для каждой версии iOS; оставшиеся полномочия находятся на стороне управления. Запишите, что было удалено, кто это одобрил и была ли отозвана учётная запись, потому что следующий человек с этим устройством встретит те же два объекта.