Η κατάργηση προφίλ VPN των Windows δεν ανακαλεί την πρόσβαση

Διαγράφετε τη σύνδεση από τις Ρυθμίσεις των Windows, ανοίγετε ξανά τη λίστα και είναι πάλι εκεί. Ή έχει φύγει από τις Ρυθμίσεις αλλά εξακολουθεί να απαντά στο PowerShell. Ή απεγκαταστήσατε το πρόγραμμα-πελάτη VPN και η καταχώριση δεν έφυγε ποτέ. Και τα τρία προέρχονται από μία λανθασμένη υπόθεση: ότι ένα προφίλ VPN των Windows είναι μέρος του λογισμικού VPN.

Δεν είναι. Ένα προφίλ είναι μια εγγραφή σύνδεσης σε ένα αρχείο βιβλίου τηλεφώνου. Η κατάργησή του διαγράφει αυτή την εγγραφή, σε ένα εύρος, από έναν χώρο αποθήκευσης. Το πρόγραμμα-πελάτης, τα πιστοποιητικά του και η εμπιστοσύνη της πύλης στα διαπιστευτήριά σας μένουν ακριβώς εκεί που ήταν.

Τι διαγράφει στην πραγματικότητα το Remove-VpnConnection

Τα εγγενή προφίλ ζουν στο rasphone.pbk: ένα βιβλίο τηλεφώνου κάτω από κάθε προφίλ χρήστη, ένα σε επίπεδο μηχανήματος κάτω από το ProgramData. Το Get-VpnConnection απαριθμεί τις εγγραφές ανά χρήστη· προσθέτοντας το -AllUserConnection απαριθμούνται αυτές σε επίπεδο μηχανήματος. Το ίδιο όνομα μπορεί να υπάρχει και στις δύο λίστες, και οι δύο εγγραφές είναι ξεχωριστά αντικείμενα.

Το Remove-VpnConnection -Name "Old Office" -Force διαγράφει την αντίστοιχη εγγραφή ανά χρήστη. Η ίδια εντολή με το -AllUserConnection διαγράφει την εγγραφή σε επίπεδο μηχανήματος και απαιτεί αναβαθμισμένο κέλυφος. Σε κάθε περίπτωση το cmdlet αγγίζει μόνο αυτή την εγγραφή: καμία απεγκατάσταση, κανένας καθαρισμός πιστοποιητικών, κανένα μήνυμα στον διακομιστή. Η αναφορά του Remove-VpnConnection απαριθμεί τις παραμέτρους, και τα δύο cmdlet υποστηρίζουν το -WhatIf.

Άρα το ερώτημα πριν εκτελέσετε οτιδήποτε δεν είναι πώς να διαγράψετε ένα προφίλ VPN. Είναι ποια από τις δύο εγγραφές κοιτάτε. Μια προεπισκόπηση το απαντά σε μία γραμμή:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Αν η προεπισκόπηση αναφέρει ότι δεν ταιριάζει τίποτα, βρίσκεστε σε λάθος εύρος και η άλλη εντολή θα βρει την καταχώριση. Αν ονομάζει τον στόχο, έχετε τη σωστή.

Γιατί η καταχώριση επιστρέφει αφού τη διαγράψετε

Ένα προφίλ που επανεμφανίζεται μέσα σε λίγα λεπτά δεν ήταν ποτέ δικό σας για διαγραφή. Σε φορητό υπολογιστή υπό διαχείριση, η σύνδεση συνήθως φτάνει από μια ανάπτυξη: μια διαμόρφωση VPN του Intune ή της Πολιτικής Ομάδας, ένα πακέτο CMAK που ωθεί η ομάδα δικτύου ή ένα σενάριο σύνδεσης. Διαγράψτε την εγγραφή και η επόμενη ανανέωση πολιτικής θα την ξαναγράψει.

Το σημάδι είναι ο χρόνος. Ένα προφίλ υπό διαχείριση επιστρέφει σε κύκλο ανανέωσης, όχι στην επόμενη επανεκκίνηση, και επιστρέφει με την ίδια διεύθυνση διακομιστή και την ίδια μέθοδο ελέγχου ταυτότητας που μόλις αφαιρέσατε. Ένα προφίλ που προσθέσατε με το χέρι μένει μακριά.

Διορθώστε το στην πηγή: ζητήστε να αφαιρεθεί η ανάθεση από τη συσκευή ή τον χρήστη και μετά διαγράψτε την τοπική εγγραφή. Αν δεν μπορείτε, αντιμετωπίστε την καταχώριση ως αντικείμενο υπό διαχείριση και αφήστε την ήσυχη αντί να προγραμματίζετε μια κατάργηση που χάνει κάθε φορά.

Η απεγκατάσταση του προγράμματος-πελάτη είναι άλλη δουλειά

Τα προγράμματα-πελάτες τρίτων διατηρούν τους δικούς τους χώρους. Τα Cisco Secure Client, GlobalProtect, OpenVPN GUI και η υπηρεσία σήραγγας WireGuard κρατούν το καθένα δεδομένα σύνδεσης έξω από το βιβλίο τηλεφώνου των Windows. Η κατάργηση της εγγενούς καταχώρισης αφήνει όλα αυτά ανέγγιχτα, και η απεγκατάσταση της εφαρμογής μπορεί να αφήσει πίσω την εγγενή καταχώριση επειδή το προφίλ εισήχθη ξεχωριστά.

Οι εισαγωγές είναι η συνήθης παγίδα. Αν προσθέσατε τη σύνδεση από ένα .pbk, ένα .cmpbk ή ένα ληφθέν αρχείο διαμόρφωσης, η διαγραφή αυτού του αρχείου δεν διαγράφει την εγγραφή που δημιούργησε, και το άνοιγμα του αρχείου ξανά την αναδημιουργεί. Καταργήστε πρώτα την καταχώριση, διαγράψτε δεύτερο το αρχείο, μετά συνδεθείτε και αποσυνδεθείτε μία φορά για να επιβεβαιώσετε ότι δεν επέστρεψε τίποτα.

Η κατάργηση δεν είναι ανάκληση

Αν διαγράφετε το προφίλ επειδή χάθηκε ένας φορητός, ένα μηχάνημα είναι κοινόχρηστο ή διέρρευσε ένα αρχείο διαμόρφωσης, η τοπική κατάργηση είναι σχεδόν καλλωπιστική. Η πύλη εξακολουθεί να εμπιστεύεται το πιστοποιητικό ή το προ-κοινόχρηστο κλειδί μέχρι ο διαχειριστής να το ανακαλέσει. Η διαγραφή της εγγραφής σταματά αυτό το μηχάνημα από το να ξεκινήσει νέα σύνδεση· δεν σταματά ένα αντίγραφο των διαπιστευτηρίων από το να συνδεθεί αλλού.

Κάντε την ανάκληση στην πλευρά που παρέχει πρόσβαση: τραβήξτε το πιστοποιητικό από την έμπιστη λίστα, απενεργοποιήστε τον λογαριασμό, περιστρέψτε το κλειδί. Μετά καθαρίστε το τοπικό προφίλ. Αντιστρέψτε τη σειρά και καταλήγετε με ένα μηχάνημα χωρίς προφίλ και διαπιστευτήρια που ακόμη λειτουργούν.

Έλεγχος τεσσάρων βημάτων πριν το θεωρήσετε τελειωμένο

Όλη η ακολουθία διαρκεί περίπου ένα λεπτό και πιάνει σχεδόν κάθε κατάργηση σε λάθος εύρος:

1. Καταγράψτε και τα δύο εύρη και σημειώστε το ακριβές όνομα και τη διεύθυνση διακομιστή.
2. Εκτελέστε την κατάργηση με το -WhatIf στο εύρος που ταίριαξε.
3. Εκτελέστε την ξανά χωρίς το -WhatIf, με αναβαθμισμένα δικαιώματα αν η καταχώριση είναι για όλους τους χρήστες.
4. Καταγράψτε ξανά και τα δύο εύρη, ανοίξτε ξανά τις Ρυθμίσεις και επιβεβαιώστε ότι οι άλλες συνδέσεις σας λειτουργούν ακόμη.

Αν το βήμα 4 δείχνει ακόμη την καταχώριση, η κατάργηση στόχευσε ήσυχα το άλλο εύρος. Αν η καταχώριση επιστρέψει μετά από λίγο, βλέπετε μια ανάπτυξη. Αν οι Ρυθμίσεις την δείχνουν ακόμη ενώ και οι δύο λίστες cmdlet είναι κενές, κλείστε και ανοίξτε ξανά τη σελίδα, η οποία αποθηκεύει προσωρινά τη λίστα της περισσότερο από όσο το βιβλίο τηλεφώνου κρατά την εγγραφή.

Επόμενο: αποφασίστε αν η καταχώριση ήταν τοπικό υπόλειμμα ή αντικείμενο υπό διαχείριση. Ένα υπόλειμμα είναι ασφαλές να διαγραφεί μία φορά και να ξεχαστεί. Ένα αντικείμενο υπό διαχείριση χρειάζεται πρώτα αλλαγή της ανάθεσης, αλλιώς η κατάργησή σας είναι απλώς ένας αγώνας που θα χάσετε. Και αν ο πραγματικός στόχος ήταν να κόψετε την πρόσβαση, η αλλαγή στην πύλη μετράει πολύ περισσότερο από οτιδήποτε κάνετε στο προφίλ.