Apple 设备脱离管理：它上面的 VPN 会怎样？
移除管理描述文件会一并带走 VPN 负载和它的证书。而停用这条 VPN 背后的账户，是另一件独立的事。
昨天完成注册的手机，今天就要退役了，但设置里那条 VPN 仍然显示着。隧道还能不能用，取决于两件互不相干的事：提供 VPN 配置的管理描述文件，以及 VPN 服务器认可的账户或证书身份。删掉其中一个，并不等于删掉另一个，所以看起来完整的退役流程，往往还留着仍可用的凭据。在宣布这台设备处理完毕之前，请按这个顺序把两者都核对一遍。
两件常被混为一谈的删除
描述文件是本地的对象：它携带 VPN 设置、与之配套的证书或身份偏好，通常还有若干限制。授权则在远端：一个用户账户、一张设备证书，或者由终止隧道的那一方保管的注册记录。一个在手机上删除，另一个在办公桌上看不见的控制台里停用。
从设备上移除描述文件看得见、也立刻生效，于是很容易被当成全部工作。服务器侧的身份从手机上看不到，直到有人把它停用之前一直有效。只删除本地对象的退役流程，会留下一份可以被复制、从备份中恢复、或注册到另一台设备上的凭据。因此这两次删除属于不同的负责人，也对应不同的核对清单。
描述文件会带走什么
删除管理描述文件时，VPN 配置会和验证它的证书一起消失，某些部署下连同旁边安装的应用也一并移除。具体范围取决于负载是如何下发的，以及设备是否处于监管之下。在向任何人承诺“只会少一条隧道”之前，先读一读负载清单。
抹掉并不等于注销，因为设备下次连回时，注册记录可以把描述文件重新下发。决定这次重新分配会不会发生的，正是归属记录；它也能解释为什么抹掉的设备有时会带着管理状态回来。在预测结果之前先读清楚注册方式，并把表格当作核对清单，而不是某家厂商的默认行为说明。
| Question | How to answer it | If the answer is wrong |
|---|---|---|
| Is the profile gone? | Settings lists no management profile and no managed VPN entry | the device still receives policy at the next check-in |
| Is the identity revoked? | the VPN server rejects that account or certificate | a copied credential still connects |
| Is the enrolment record updated? | the ownership system shows the device as retired | a wipe enrols the device again automatically |
| Is unrelated access intact? | personal or still-authorised services keep working | revocation reached more than the retired device |
描述文件没了，账户依然有效
要刻意去测服务器那一侧，因为一台没有描述文件的设备，证明不了任何关于凭据的事。被复制的证书、被保存的密码，或者第二次注册，都可能从别处完成认证。
把吊销范围收窄。共用同一个签发方，或让一个账户横跨多台设备，会把退役变成一次故障；而急着恢复访问的压力，正是例外变成常态的方式。
分别确认设备与身份
按顺序做完两项检查，并把两个结果都记下来：设备不再持有描述文件，身份也不能再建立隧道。同时确认设备上仍然获准的服务没有受影响，因为一旦退役顺带切断了无关访问，它很快就会被撤回。
如果设备要转手，请走归属流程，而不是把一份还能用的凭据交出去，并记下新持有者是否需要重新注册。留一份简短的移除记录，但不要保留此后没人需要的私钥。