Чому профіль VPN в iOS залишається заблокованим і як його видалити

Видалення запису VPN на iPhone або iPad не вдається з однієї з двох причин, і жодна з них не залиплий перемикач. Або запис установила служба керування пристроями, і кнопка Видалити ніколи не була вашою, або встановлена програма вважає конфігурацію своєю та повертає її під час наступного запуску. Обидва види лежать майже в одному місці в Налаштуваннях, тому люди тричі видаляють той самий рядок і звинувачують iOS. Спершу визначте власника об'єкта, потім видаліть його так, як цей власник дозволяє.

Два об'єкти ділять один рядок у Налаштуваннях

VPN, створений програмою, будується через фреймворк NetworkExtension. Програма складає конфігурацію в коді, зберігає її в системному сховищі, а iOS показує її в розділі VPN з перемикачем стану. Програма залишається власником запису: вона може згодом оновити його, прикріпити правила підключення на вимогу або додати знову після вашого видалення. Нові версії iOS запитують підтвердження, коли програма хоче додати конфігурацію VPN, і саме в цьому запиті надається право власності.

Профіль конфігурації — інший об'єкт. Це підписаний файл, зазвичай .mobileconfig, який може нести корисне навантаження VPN разом із налаштуваннями Wi-Fi, сертифікати, обмеження та поштові облікові записи. Хтось установлює його із завантаження або через Apple Configurator, або служба керування розсилає його. Одиниця видалення — профіль, а не рядок VPN. iOS не пропонує видалити одне навантаження з підписаного профілю, тому видалення забирає все інше в профілі.

Зовні вони схожі, але поводяться зовсім по-різному, тому порівняйте те, що бачите, із цією таблицею, перш ніж щось змінювати.

Прочитати власника в Налаштуваннях

У поточних версіях iOS і iPadOS список міститься в Налаштування, Основні, VPN і керування пристроєм; старіші версії називали цей екран Профілі. Відкрийте профіль і прочитайте екран відомостей, перш ніж щось торкатися. Рядок із назвою організації або слова Керується означають, що профіль прийшов із сервера керування. Кнопка Видалити профіль означає, що цю інсталяцію можна видалити вручну, але це ще не каже, чи поверне її сервер під час наступної перевірки.

Потім перевірте розділ VPN на тому самому екрані. Записи, створені програмами, показують поруч назву програми, а кнопка інформації відкриває конфігурацію з власною опцією Видалити VPN. Рядок, у відомостях якого вказано навантаження, а не програму, належить профілю і має вирішуватися там. Вимкнення перемикача стану не є видаленням: конфігурація залишається збереженою, а правило підключення на вимогу може знову підняти тунель у момент, коли з'явиться відповідна мережа.

Видалити особисту конфігурацію, яка повертається

Відкрийте запис VPN, торкніться кнопки інформації, виберіть Видалити VPN і підтвердьте. Якщо запис повертається після перезапуску, програма створює його знову; це задумана поведінка, а не помилка. Зупиніть відтворення у джерелі: вимкніть підключення на вимогу в конфігурації, відхиліть запит на схвалення, якщо програма хоче знову додати конфігурацію, або видаліть програму, коли вона більше не потрібна. Видаліть запис до деінсталяції, бо видалена програма може залишити збережену конфігурацію, якою більше нічому керувати.

Коли постачальник надіслав профіль замість конфігурації NetworkExtension, він з'являється в тому самому списку профілів під іменем постачальника. Спершу видаліть профіль, потім програму. Не видаляйте сторонні сертифікати, щоб послабити конфігурацію: сертифікату в цьому списку можуть довіряти пошта, Wi-Fi або внутрішні сайти, і його видалення ламає більше, ніж тунель.

Коли профілем володіє керування пристроєм

Сервер керування встановлює профіль командою встановлення та видаляє його відповідною командою видалення. Доки цього не сталося, профіль не належить пристрою для видалення, а керований профіль, який можна видалити локально, зазвичай повертається під час наступної перевірки. Стирання пристрою теж не змінює призначення. За автоматичної реєстрації серійний номер прив'язаний до організації, тому Асистент налаштування знову реєструє пристрій, і той самий профіль опиняється на ньому раніше, ніж ви дійдете до головного екрана.

Вихід адміністративний. Попросіть адміністратора видалити запис пристрою зі служби керування, що завершує реєстрацію та зупиняє майбутні інсталяції, або видалити лише профіль VPN із призначення, якщо пристрій має залишатися керованим без нього. Для пристрою, що залишає організацію, просіть і те й інше: реєстрацію видалити, а обліковий запис VPN або сертифікат відкликати. Саме локальне видалення залишає облікові дані, які все ще проходять автентифікацію з копії профілю деінде.

Якщо профіль усе ще в списку після зміни на сервері, перезавантажте пристрій і перечитайте список, перш ніж щось стирати. Деякі видалення спрацьовують лише під час наступної перевірки пристрою, а перезавантаження форсує цю розмову.

Перевірити й відкликати те, чого не зробило видалення

Коли запис зник, підтвердьте три речі по черзі: список VPN більше не містить конфігурацію, список профілів більше не показує профіль, що її ніс, а перезавантаження не повертає ні того ні того. Конфігурація, що з'являється знову після перезавантаження, вказує на власника, якого ви ще не знайшли, а не на невдале видалення. Потім перевірте доступ, який ви хотіли припинити: запит до внутрішнього хоста має завершитися невдачею, а область стану має залишатися бездіяльною.

Видалення локальне; відкликання — ні. Видаліть або вимкніть обліковий запис VPN користувача на сервері, відкличте сертифікат, який ніс профіль, і очистіть збережені облікові дані, які програма тримала у зв'язці ключів. Посібник Apple зі встановлення та видалення профілів конфігурації охоплює шлях на пристрої для кожної версії iOS; решта повноважень — на боці керування. Запишіть, що було видалено, хто це схвалив і чи було відкликано обліковий запис, бо наступна людина з цим пристроєм зустріне ті самі два об'єкти.