Выдаленне профілю VPN у Windows не адклікае доступ

Выдаленне профілю VPN у Windows ачышчае адзін запіс у тэлефоннай кнізе, а не давер кліента ці сервера. Выдаліце патрэбную вобласць і праверце, што запіс не вярнуўся.

Вы выдаляеце злучэнне ў Параметрах Windows, зноў адкрываеце спіс — і яно на месцы. Або яно знікла з Параметраў, але дагэтуль адказвае ў PowerShell. Або вы выдалілі кліент VPN, а запіс так і не знік. Усе тры выпадкі паходзяць з аднаго памылковага меркавання: што профіль VPN у Windows — частка праграмнага забеспячэння VPN.

Гэта не так. Профіль — гэта запіс злучэння ў файле тэлефоннай кнігі. Яго выдаленне сцірае гэты запіс, у адной вобласці, з аднаго сховішча. Кліент, яго сертыфікаты і давер шлюза да вашых уліковых даных застаюцца роўна там, дзе былі.

Што насамрэч выдаляе Remove-VpnConnection

Убудаваныя профілі жывуць у rasphone.pbk: адна тэлефонная кніга ў кожным профілі карыстальніка, адна агульная для машыны ў ProgramData. Запісы бягучага карыстальніка пералічвае Get-VpnConnection; даданне -AllUserConnection пералічвае запісы ўсёй машыны. Адно і тое ж імя можа быць у абодвух спісах, і гэта два розныя аб'екты.

Remove-VpnConnection -Name "Old Office" -Force выдаляе адпаведны запіс карыстальніка. Той жа загад з -AllUserConnection выдаляе запіс усёй машыны і патрабуе падвышанай абалонкі. У любым выпадку камандлет закранае толькі гэты запіс: без выдалення праграмы, без ачысткі сертыфікатаў, без паведамлення серверу. Даведка Remove-VpnConnection пералічвае параметры, і абодва камандлеты падтрымліваюць -WhatIf.

Таму пытанне перад запускам — не як выдаліць профіль VPN. А які з двух запісаў вы бачыце. Папярэдні прагляд адказвае на гэта адным радком:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Калі прагляд паведамляе, што нічога не супадае, вы ў няправільнай вобласці, і іншы загад знойдзе запіс. Калі ён называе мэту, вобласць правільная.

Чаму запіс вяртаецца пасля выдалення

Профіль, які з'яўляецца зноў праз некалькі хвілін, ніколі не быў вашым для выдалення. На кіраваным ноўтбуку злучэнне звычайна прыходзіць з разгортвання: канфігурацыя VPN з Intune або групавой палітыкі, пакет CMAK, дасланы сеткавай камандай, або сцэнар уваходу. Выдаліце запіс — і наступнае абнаўленне палітыкі запіша яго назад.

Прыкмета — час. Кіраваны профіль вяртаецца на цыкле абнаўлення, а не пры наступнай загрузцы, і вяртаецца з тым жа адрасам сервера і тым жа метадам аўтэнтыфікацыі, якія вы толькі што прыбралі. Профіль, дададзены ўручную, застаецца выдаленым.

Вырашайце гэта каля крыніцы: дабіцеся зняцця прызначэння з прылады або карыстальніка, а потым выдаліце лакальны запіс. Калі не можаце, стаўцеся да запісу як да кіраванага аб'екта і пакіньце яго ў спакоі, замест таго каб планаваць выдаленне, якое ўвесь час прайграе.

Выдаленне кліента — іншая справа

Староннія кліенты трымаюць уласныя сховішчы. Cisco Secure Client, GlobalProtect, OpenVPN GUI і тунэльная служба WireGuard захоўваюць даныя пра злучэнні па-за тэлефоннай кнігай Windows. Выдаленне ўбудаванага запісу не кранае ўсяго гэтага, а выдаленне праграмы можа пакінуць убудаваны запіс, бо профіль быў імпартаваны асобна.

Імпарт — звычайная пастка. Калі вы дадалі злучэнне з .pbk, .cmpbk або спампаванага файла канфігурацыі, выдаленне гэтага файла не выдаляе створаны запіс, а паўторнае адкрыццё файла стварае яго нанова. Спачатку выдаліце запіс, потым файл, а далей адзін раз падключыцеся і адключыцеся, каб пераканацца, што нічога не вярнулася.

Выдаленне — не адкліканне

Калі вы выдаляеце профіль таму, што ноўтбук згублены, машына агульная або файл канфігурацыі працёк, лакальнае выдаленне — амаль касметыка. Шлюз дагэтуль давярае сертыфікату або загадзя падзеленаму ключу, пакуль аператар яго не адкліча. Выдаленне запісу не дае гэтай машыне пачаць новае злучэнне; яно не перашкаджае копіі ўліковых даных падключыцца ў іншым месцы.

Адклікайце на тым баку, які дае доступ: прыбярыце сертыфікат са спіса давераных, адключыце ўліковы запіс, змяніце ключ. Потым ачысціце лакальны профіль. Паменіце парадак — і застанецеся з машынай без профілю і уліковымі данымі, якія яшчэ працуюць.

Праверка ў чатыры крокі, перш чым лічыць справу закрытай

Уся паслядоўнасць займае каля хвіліны і ловіць амаль кожнае выдаленне ў няправільнай вобласці:

  1. Пералічыце абедзве вобласці і запішыце дакладнае імя і адрас сервера.
  2. Запусціце выдаленне з -WhatIf для той вобласці, што супала.
  3. Запусціце яго зноў без -WhatIf, з падвышэннем, калі запіс датычыцца ўсіх карыстальнікаў.
  4. Зноў пералічыце абедзве вобласці, адкрыйце Параметры і пацвердзіце, што іншыя злучэнні працуюць.

Калі крок 4 дагэтуль паказвае запіс, выдаленне ціха закранула іншую вобласць. Калі запіс вяртаецца праз нейкі час, перад вамі разгортванне. Калі Параметры дагэтуль яго паказваюць, а абодва спісы камандлета пустыя, зачыніце і зноў адкрыйце старонку: яна трымае свой спіс у кэшы даўжэй, чым тэлефонная кніга захоўвае запіс.

Далей: вырашыце, ці быў запіс лакальным рэшткам, ці кіраваным аб'ектам. Рэштак бяспечна выдаліць адзін раз і забыць. Кіраваны аб'ект патрабуе спачатку змяніць прызначэнне, інакш ваша выдаленне — проста гонка, якую вы прайграеце. А калі сапраўдная мэта — адрэзаць доступ, змена на шлюзе важыць значна больш за ўсё, што вы робіце з профілем.

Падобныя артыкулы