At fjerne en Windows-VPN-profil tilbagekalder ikke adgang

Sletning af en Windows-VPN-profil rydder en telefonbogspost, ikke klientens eller serverens tillid. Fjern det rigtige omfang, og kontroller derefter, at den bliver væk.

Du sletter forbindelsen i Windows Indstillinger, åbner listen igen, og den er tilbage. Eller den er væk fra Indstillinger, men svarer stadig på PowerShell. Eller du afinstallerede VPN-klienten, og posten forsvandt aldrig. Alle tre kommer fra én forkert antagelse: at en Windows-VPN-profil er en del af VPN-softwaren.

Det er den ikke. En profil er en forbindelsespost i en telefonbogsfil. At fjerne den sletter posten, i ét omfang, fra ét lager. Klienten, dens certifikater og gatewayens tillid til din legitimationsoplysning bliver præcis, hvor de var.

Hvad Remove-VpnConnection egentlig sletter

Indbyggede profiler ligger i rasphone.pbk: én telefonbog under hver brugerprofil, én maskinvid under ProgramData. Get-VpnConnection viser posterne pr. bruger; tilføjer man -AllUserConnection vises dem for hele maskinen. Det samme navn kan findes i begge lister, og de to poster er separate objekter.

Remove-VpnConnection -Name "Old Office" -Force sletter den matchende post pr. bruger. Den samme kommando med -AllUserConnection sletter den maskinvide post og kræver en forhøjet shell. Uanset hvad rører cmdletten kun den post: ingen afinstallation, ingen certifikatoprydning, ingen besked til serveren. Referencen for Remove-VpnConnection viser parametrene, og begge cmdletter understøtter -WhatIf.

Spørgsmålet inden du kører noget er derfor ikke, hvordan man sletter en VPN-profil. Det er, hvilken af de to poster du står med. En forhåndsvisning svarer på det i én linje:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Siger forhåndsvisningen, at intet matcher, er du i det forkerte omfang, og den anden kommando finder posten. Navngiver den målet, har du det rigtige.

Hvorfor posten kommer tilbage, efter du har slettet den

En profil, der dukker op igen inden for få minutter, var aldrig din at slette. På en administreret bærbar kommer forbindelsen normalt fra en udrulning: en VPN-konfiguration fra Intune eller gruppepolitik, en CMAK-pakke, som netværksteamet har sendt ud, eller et logon-script. Slet posten, og næste politikopdatering skriver den tilbage.

Tegnet er tidspunktet. En administreret profil vender tilbage ved en opdateringscyklus, ikke ved næste genstart, og den vender tilbage med samme serveradresse og samme godkendelsesmetode, som du netop har fjernet. En profil, du har tilføjet manuelt, bliver væk.

Løs det ved kilden: få fjernet tildelingen fra enheden eller brugeren, og slet derefter den lokale post. Kan du ikke, så behandl posten som et administreret objekt og lad den være i stedet for at planlægge en sletning, der hele tiden taber.

At afinstallere klienten er et andet arbejde

Tredjepartsklienter har egne lagre. Cisco Secure Client, GlobalProtect, OpenVPN GUI og WireGuard-tunneltjenesten holder hver deres forbindelsesdata uden for Windows telefonbogen. At fjerne den indbyggede post lader alt det være urørt, og at afinstallere appen kan efterlade den indbyggede post, fordi profilen blev importeret separat.

Importer er den sædvanlige fælde. Hvis du tilføjede forbindelsen fra en .pbk, en .cmpbk eller en downloadet konfigurationsfil, sletter sletningen af den fil ikke posten, den oprettede, og åbner du filen igen, genskabes den. Fjern først posten, slet derefter filen, og forbind og afbryd én gang for at bekræfte, at intet kom tilbage.

Fjernelse er ikke tilbagekaldelse

Hvis du sletter profilen, fordi en bærbar er blevet væk, en maskine deles, eller en konfigurationsfil er lækket, er lokal fjernelse næsten kun kosmetik. Gatewayen stoler stadig på certifikatet eller den foruddelte nøgle, indtil operatøren tilbagekalder den. At slette posten forhindrer denne maskine i at starte en ny forbindelse; det forhindrer ikke en kopi af legitimationsoplysningen i at forbinde andre steder.

Tilbagekald på den side, der giver adgang: fjern certifikatet fra listen over betroede, deaktiver kontoen, roter nøglen. Ryd derefter den lokale profil. Vender du rækkefølgen om, står du med en maskine uden profil og en legitimationsoplysning, der stadig virker.

En kontrol i fire trin, før du kalder det færdigt

Hele sekvensen tager cirka et minut og fanger næsten enhver fjernelse i det forkerte omfang:

  1. Vis begge omfang og skriv det præcise navn og serveradressen ned.
  2. Kør fjernelsen med -WhatIf mod det omfang, der matchede.
  3. Kør den igen uden -WhatIf, forhøjet hvis posten gælder alle brugere.
  4. Vis begge omfang igen, åbn Indstillinger på ny, og bekræft, at dine andre forbindelser stadig virker.

Viser trin 4 stadig posten, ramte fjernelsen stille det andet omfang. Kommer posten tilbage efter et stykke tid, ser du på en udrulning. Viser Indstillinger den stadig, mens begge cmdlet-lister er tomme, så luk og åbn siden igen; den cacher sin liste længere, end telefonbogen beholder posten.

Dernæst: afgør, om posten var en lokal rest eller et administreret objekt. En rest er sikker at slette én gang og glemme. Et administreret objekt kræver først en ændret tildeling, ellers er din fjernelse bare et kapløb, du taber. Og hvis det egentlige mål var at afskære adgangen, betyder ændringen i gatewayen langt mere end alt, hvad du gør ved profilen.

Relaterede artikler