Varför en iOS-VPN-profil förblir låst – och hur du tar bort den

Att ta bort en VPN-post på en iPhone eller iPad misslyckas av en av två anledningar, och ingen av dem är en fastnad växel. Antingen installerades posten av en enhetshanteringstjänst och knappen Ta bort var aldrig din att trycka på, eller så ser en app du fortfarande har installerad konfigurationen som sin egen och skriver tillbaka den vid nästa start. Båda typerna ligger nästan på samma plats i Inställningar, så folk raderar samma rad tre gånger och skyller på iOS. Bestäm först objektets ägare och ta sedan bort det så som ägaren tillåter.

Två objekt delar en rad i Inställningar

Ett appskapat VPN byggs via ramverket NetworkExtension. Appen sätter ihop en konfiguration i kod, sparar den i systemlagret, och iOS listar den under VPN med en statusväxel. Appen förblir ägare till posten: den kan uppdatera den senare, koppla regler för anslut vid behov eller lägga till den igen efter att du tagit bort den. Nyare iOS-versioner frågar efter bekräftelse när en app vill lägga till en VPN-konfiguration, och det är i den dialogen ägarskapet ges.

En konfigurationsprofil är ett annat objekt. Det är en signerad fil, oftast en .mobileconfig, som kan bära en VPN-nyttolast tillsammans med Wi-Fi-inställningar, certifikat, begränsningar och mailkonton. Någon installerar den från en nedladdning eller via Apple Configurator, eller så skjuter en hanteringstjänst ut den. Det är profilen som tas bort, inte VPN-raden. iOS erbjuder inte att radera en enskild nyttolast ur en signerad profil, så borttagningen tar allt annat i profilen med sig.

De två ser lika ut på översta nivån och beter sig helt olika, så jämför det du ser med den här tabellen innan du ändrar något.

Läs av ägaren i Inställningar

I aktuella iOS- och iPadOS-versioner ligger listan under Inställningar, Allmänt, VPN och enhetshantering; äldre versioner kallade samma skärm Profiler. Öppna profilen och läs detaljskärmen innan du rör något. En rad med organisationens namn, eller orden Hanteras av, betyder att profilen kom från en hanteringsserver. En knapp Ta bort profil betyder att installationen kan tas bort för hand, vilket ännu inte säger om servern skjuter tillbaka den vid nästa incheckning.

Kontrollera sedan VPN-avsnittet på samma skärm. Poster som skapats av appar visar appnamnet bredvid, och info-knappen öppnar konfigurationen med ett eget alternativ Radera VPN. En rad vars detaljer anger en nyttolast i stället för en app hör till en profil och måste hanteras där. Att stänga av statusväxeln är inte borttagning: konfigurationen ligger kvar sparad, och en regel för anslut vid behov kan resa tunneln igen i samma stund som ett matchande nätverk dyker upp.

Ta bort en personlig konfiguration som hela tiden kommer tillbaka

Öppna VPN-posten, tryck på info-knappen, välj Radera VPN och bekräfta. Är posten tillbaka efter en omstart återskapar appen den; det är avsett beteende och inte en bugg. Stoppa återskapandet vid källan: stäng av anslut vid behov i konfigurationen, avböj godkännandedialogen om appen vill lägga till konfigurationen igen, eller avinstallera appen när du inte längre behöver den. Ta bort posten före avinstallationen, för en avinstallerad app kan lämna en sparad konfiguration efter sig som inget längre hanterar.

När leverantören skickade en profil i stället för en NetworkExtension-konfiguration visas den i samma profillista under leverantörens namn. Ta bort profilen först och sedan appen. Radera inte andra certifikat för att försvaga konfigurationen: ett certifikat i listan kan vara betrott av mail, Wi-Fi eller interna webbplatser, och att ta bort det bryter mer än tunneln.

När enhetshanteringen håller i profilen

En hanteringsserver installerar en profil med ett installationskommando och tar bort den med ett matchande borttagningskommando. Tills det sker är profilen inte enhetens att radera, och en hanterad profil som kan tas bort lokalt skjuts oftast ut igen vid nästa incheckning. Att radera enheten ändrar inte heller tilldelningen. Vid automatisk registrering är serienumret knutet till organisationen, så Setup Assistant registrerar enheten igen och samma profil landar innan du når hemskärmen.

Vägen ut är administrativ. Be administratören ta bort enhetsposten från hanteringstjänsten, vilket avslutar registreringen och stoppar framtida installationer, eller bara ta bort VPN-profilen från tilldelningen om enheten ska förbli hanterad utan den. För en enhet som lämnar organisationen, be om båda: registreringen borttagen och VPN-kontot eller certifikatet återkallat. Enbart lokal borttagning lämnar uppgifter som fortfarande autentiserar sig från en kopia av profilen någon annanstans.

Står profilen kvar i listan efter ändringen på serversidan, starta om enheten och läs listan igen innan du raderar något. Vissa borttagningar slår bara igenom vid enhetens nästa incheckning, och en omstart tvingar fram det samtalet.

Kontrollera och återkalla det borttagningen inte gjorde

När posten är borta, bekräfta tre saker i ordning: VPN-listan innehåller inte längre konfigurationen, profillistan visar inte längre profilen som bar den, och en omstart tar inte tillbaka någon av dem. En konfiguration som dyker upp igen efter en omstart pekar på en ägare du inte hittat, inte på en misslyckad radering. Testa sedan den åtkomst du ville avsluta: en begäran till en intern värd bör misslyckas, och statusområdet bör förbli inaktivt.

Borttagning är lokalt; återkallande är det inte. Radera eller inaktivera användarens VPN-konto på servern, återkalla certifikatet profilen bar och rensa sparade uppgifter som appen behöll i nyckelringen. Apples guide till att installera och ta bort konfigurationsprofiler täcker vägen på enheten för varje iOS-version; den kvarvarande befogenheten ligger på hanteringssidan. Anteckna vad som togs bort, vem som godkände det och om kontot återkallades, för nästa person med enheten möter samma två objekt.