Odebrání profilu VPN ve Windows nezruší přístup

Smazání profilu VPN ve Windows vyčistí jeden záznam v telefonním seznamu, ne důvěru klienta ani serveru. Odeberte správný rozsah a pak ověřte, že zůstal pryč.

Smažete připojení v Nastavení Windows, otevřete seznam znovu a je zpátky. Nebo z Nastavení zmizelo, ale pořád odpovídá v PowerShellu. Nebo jste odinstalovali klienta VPN a položka nikdy nezmizela. Všechny tři případy pramení z jednoho chybného předpokladu: že profil VPN ve Windows je součástí softwaru VPN.

Není. Profil je záznam připojení v souboru telefonního seznamu. Jeho odebrání smaže tento záznam v jednom rozsahu z jednoho úložiště. Klient, jeho certifikáty a důvěra brány ve váš údaj zůstanou přesně tam, kde byly.

Co Remove-VpnConnection skutečně maže

Nativní profily žijí v rasphone.pbk: jeden telefonní seznam pod každým profilem uživatele, jeden pro celý stroj v ProgramData. Záznamy pro uživatele vypisuje Get-VpnConnection; přidání -AllUserConnection vypíše ty pro celý stroj. Stejný název může být v obou seznamech a oba záznamy jsou samostatné objekty.

Remove-VpnConnection -Name "Old Office" -Force smaže odpovídající záznam uživatele. Stejný příkaz s -AllUserConnection smaže záznam pro celý stroj a vyžaduje zvýšené prostředí. Tak či tak se rutina dotkne jen toho záznamu: žádná odinstalace, žádné čištění certifikátů, žádná zpráva serveru. Referenční stránka Remove-VpnConnection uvádí parametry a obě rutiny podporují -WhatIf.

Otázka před spuštěním čehokoli tedy není, jak profil VPN smazat. Je to, na který ze dvou záznamů se díváte. Náhled to zodpoví jedním řádkem:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Pokud náhled hlásí, že nic neodpovídá, jste ve špatném rozsahu a druhý příkaz položku najde. Pokud cíl pojmenuje, máte ten správný.

Proč se položka po smazání vrací

Profil, který se během minut znovu objeví, nikdy nebyl váš ke smazání. Na spravovaném notebooku připojení obvykle přichází z nasazení: konfigurace VPN z Intune nebo zásad skupiny, balíček CMAK odeslaný síťovým týmem nebo přihlašovací skript. Smažte záznam a příští obnovení zásad ho zapíše zpět.

Znakem je časování. Spravovaný profil se vrací v cyklu obnovení, ne při příštím restartu, a vrací se se stejnou adresou serveru a stejnou metodou ověřování, kterou jste právě odebrali. Profil přidaný ručně zůstane pryč.

Vyřešte to u zdroje: nechte odebrat přiřazení ze zařízení nebo uživatele a potom smažte místní záznam. Pokud to nejde, berte položku jako spravovaný objekt a nechte ji být, místo abyste plánovali mazání, které pořád prohrává.

Odinstalace klienta je jiná práce

Klienti třetích stran mají vlastní úložiště. Cisco Secure Client, GlobalProtect, OpenVPN GUI a tunelová služba WireGuard drží data připojení mimo telefonní seznam Windows. Odebrání nativní položky nechá to vše nedotčené a odinstalace aplikace může nativní položku zanechat, protože profil byl importován zvlášť.

Importy jsou obvyklá past. Pokud jste připojení přidali ze souboru .pbk, .cmpbk nebo staženého konfiguračního souboru, smazání toho souboru nesmaže vytvořený záznam a nové otevření souboru ho znovu vytvoří. Nejprve odeberte položku, potom smažte soubor a nakonec se jednou připojte a odpojte, abyste potvrdili, že se nic nevrátilo.

Odebrání není odvolání

Pokud profil mažete proto, že se ztratil notebook, stroj je sdílený nebo unikl konfigurační soubor, je místní odebrání téměř jen kosmetické. Brána stále důvěřuje certifikátu nebo předběžnému klíči, dokud ho operátor neodvolá. Smazání záznamu zabrání tomuto stroji zahájit nové připojení; nezabrání kopii údaje připojit se jinam.

Odvolejte na straně, která přístup uděluje: vyjměte certifikát ze seznamu důvěryhodných, zakažte účet, vyměňte klíč. Potom vyčistěte místní profil. Obraťte pořadí a zůstane vám stroj bez profilu a údaj, který stále funguje.

Kontrola ve čtyřech krocích, než to prohlásíte za hotové

Celá sekvence trvá asi minutu a zachytí téměř každé odebrání ve špatném rozsahu:

  1. Vypište oba rozsahy a zapište přesný název a adresu serveru.
  2. Spusťte odebrání s -WhatIf proti rozsahu, který odpovídal.
  3. Spusťte ho znovu bez -WhatIf, se zvýšenými právy, pokud je položka pro všechny uživatele.
  4. Vypište oba rozsahy znovu, otevřete Nastavení a potvrďte, že vaše další připojení stále fungují.

Pokud krok 4 stále ukazuje položku, odebrání tiše zasáhlo druhý rozsah. Pokud se položka po chvíli vrátí, díváte se na nasazení. Pokud ji Nastavení stále ukazují, zatímco oba seznamy rutiny jsou prázdné, zavřete a znovu otevřete stránku; drží svůj seznam v mezipaměti déle, než telefonní seznam záznam uchovává.

Dále: rozhodněte, zda byla položka místní pozůstatek, nebo spravovaný objekt. Pozůstatek je bezpečné jednou smazat a zapomenout. Spravovaný objekt vyžaduje nejprve změnu přiřazení, jinak je vaše odebrání jen závod, který prohrajete. A pokud bylo skutečným cílem odříznout přístup, změna na bráně znamená mnohem víc než cokoli, co uděláte s profilem.

Související články