Премахването на VPN профил в Windows не отнема достъпа

Изтриването на VPN профил в Windows изчиства един запис в телефонния указател, а не доверието на клиента или сървъра. Премахнете правилния обхват и проверете, че не се е върнал.

Изтривате връзката в Настройки на Windows, отваряте списъка отново и тя отново е там. Или е изчезнала от Настройки, но все още отговаря в PowerShell. Или сте деинсталирали VPN клиента, а записът така и не е изчезнал. И трите случая идват от едно погрешно допускане: че VPN профилът в Windows е част от VPN софтуера.

Не е. Профилът е запис за връзка във файл на телефонен указател. Премахването му изтрива този запис, в един обхват, от едно хранилище. Клиентът, сертификатите му и доверието на шлюза в данните ви за достъп остават точно там, където бяха.

Какво всъщност изтрива Remove-VpnConnection

Вградените профили живеят в rasphone.pbk: един телефонен указател под всеки потребителски профил, един за цялата машина в ProgramData. Записите за отделния потребител се изброяват от Get-VpnConnection; добавянето на -AllUserConnection изброява тези за цялата машина. Едно и също име може да съществува в двата списъка, а двата записа са отделни обекти.

Remove-VpnConnection -Name "Old Office" -Force изтрива съответстващия запис за потребителя. Същата команда с -AllUserConnection изтрива записа за цялата машина и изисква повишен шел. Както и да е, командата докосва само този запис: без деинсталация, без почистване на сертификати, без съобщение до сървъра. Справката за Remove-VpnConnection изброява параметрите и двете команди поддържат -WhatIf.

Въпросът преди да стартирате каквото и да е не е как да изтриете VPN профил. А кой от двата записа виждате. Прегледът отговаря на това в един ред:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Ако прегледът съобщи, че нищо не съвпада, вие сте в грешния обхват и другата команда ще намери записа. Ако посочи целта, имате правилния.

Защо записът се връща след изтриване

Профил, който се появява отново след минути, никога не е бил ваш за изтриване. На управляван лаптоп връзката обикновено идва от разгръщане: VPN конфигурация от Intune или групова политика, CMAK пакет, изпратен от мрежовия екип, или скрипт за влизане. Изтрийте записа и следващото обновяване на политиката ще го запише обратно.

Признакът е времето. Управляваният профил се връща при цикъл на обновяване, не при следващото зареждане, и се връща със същия адрес на сървъра и същия метод за удостоверяване, които току-що премахнахте. Профил, добавен на ръка, остава изтрит.

Решете го при източника: накарайте назначението да бъде премахнато от устройството или потребителя, после изтрийте локалния запис. Ако не можете, третирайте записа като управляван обект и го оставете на мира, вместо да планирате изтриване, което винаги губи.

Деинсталирането на клиента е друга работа

Клиентите на трети страни поддържат собствени хранилища. Cisco Secure Client, GlobalProtect, OpenVPN GUI и тунелната услуга WireGuard пазят данните за връзки извън телефонния указател на Windows. Премахването на вградения запис оставя всичко това незасегнато, а деинсталирането на приложението може да остави вградения запис, защото профилът е бил импортиран отделно.

Импортите са обичайният капан. Ако сте добавили връзката от .pbk, .cmpbk или изтеглен конфигурационен файл, изтриването на този файл не изтрива създадения запис, а отварянето на файла отново го пресъздава. Първо премахнете записа, после изтрийте файла и накрая се свържете и прекъснете веднъж, за да потвърдите, че нищо не се е върнало.

Премахването не е отнемане

Ако изтривате профила, защото лаптоп е изгубен, машина се споделя или конфигурационен файл е изтекъл, локалното премахване е почти само козметично. Шлюзът все още се доверява на сертификата или на предварително споделения ключ, докато операторът не го отнеме. Изтриването на записа спира тази машина да започне нова връзка; не спира копие на данните за достъп да се свърже другаде.

Направете отнемането от страната, която дава достъп: извадете сертификата от списъка с доверени, деактивирайте акаунта, сменете ключа. После почистете локалния профил. Обърнете реда и оставате с машина без профил и данни за достъп, които още работят.

Проверка в четири стъпки, преди да го обявите за готово

Цялата последователност отнема около минута и хваща почти всяко премахване в грешния обхват:

  1. Изброете двата обхвата и запишете точното име и адреса на сървъра.
  2. Стартирайте премахването с -WhatIf срещу обхвата, който съвпадна.
  3. Стартирайте го отново без -WhatIf, с повишаване, ако записът е за всички потребители.
  4. Изброете двата обхвата отново, отворете Настройки и потвърдете, че другите ви връзки още работят.

Ако стъпка 4 все още показва записа, премахването тихо е уцелило другия обхват. Ако записът се върне след време, виждате разгръщане. Ако Настройки все още го показват, докато двата списъка на командата са празни, затворете и отворете страницата отново; тя пази списъка си в кеш по-дълго, отколкото телефонният указател пази записа.

След това: решете дали записът е бил локална останка, или управляван обект. Останка е безопасно да изтриете веднъж и да забравите. Управляван обект изисква първо промяна на назначението, иначе премахването ви е просто състезание, което губите. И ако истинската цел беше да отрежете достъпа, промяната на шлюза значи много повече от всичко, което правите с профила.

Подобни статии