Forigi la profilon VPN de Windows ne revokas aliron

Vi forigas la konekton el la Agordoj de Windows, remalfermas la liston, kaj ĝi estas denove tie. Aŭ ĝi malaperis el Agordoj sed ankoraŭ respondas al PowerShell. Aŭ vi malinstalis la VPN-klienton kaj la rikordo neniam foriris. Ĉiuj tri venas el unu malĝusta supozo: ke profilo VPN de Windows estas parto de la VPN-programaro.

Ĝi ne estas. Profilo estas konekta rikordo en telefonlibra dosiero. Forigi ĝin viŝas tiun rikordon, en unu amplekso, el unu konservejo. La kliento, ĝiaj atestiloj kaj la fido de la pordego al via legitimilo restas ĝuste tie, kie ili estis.

Kion Remove-VpnConnection fakte forigas

Denaskaj profiloj loĝas en rasphone.pbk: unu telefonlibro sub ĉiu uzula profilo, unu maŝin-nivela sub ProgramData. Get-VpnConnection listigas la rikordojn por uzanto; aldoni -AllUserConnection listigas la maŝin-nivelajn. La sama nomo povas ekzisti en ambaŭ listoj, kaj la du rikordoj estas apartaj objektoj.

Remove-VpnConnection -Name "Old Office" -Force forigas la respondan por-uzantan rikordon. La sama komando kun -AllUserConnection forigas la maŝin-nivelan rikordon kaj bezonas altigitan ŝelon. Ĉiukaze la cmdlet tuŝas nur tiun rikordon: neniu malinstalo, neniu atestila purigado, neniu mesaĝo al la servilo. La referenco de Remove-VpnConnection listigas la parametrojn, kaj ambaŭ cmdlets subtenas -WhatIf.

Do la demando antaŭ ol vi lanĉi ion ajn ne estas kiel forigi VPN-profilon. Ĝi estas, kiun el la du rikordoj vi rigardas. Antaŭrigardo respondas ĝin per unu linio:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Se la antaŭrigardo raportas, ke nenio kongruas, vi estas en la malĝusta amplekso kaj la alia komando trovos la rikordon. Se ĝi nomas la celon, vi havas la ĝustan.

Kial la rikordo revenas post via forigo

Profilo, kiu reaperas ene de minutoj, neniam estis via por forigi. Sur administrata tekkomputilo la konekto kutime venas el dissendado: Intune aŭ Grupa Politika VPN-agordo, CMAK-pakaĵo puŝita de la reta teamo, aŭ ensaluta skripto. Forigu la rikordon kaj la sekva politika refreŝigo reskribos ĝin.

La signo estas la tempo. Administrata profilo revenas en refreŝiga ciklo, ne ĉe la sekva restartigo, kaj ĝi revenas kun la sama servila adreso kaj la sama aŭtentiga metodo, kiun vi ĵus forigis. Profilo, kiun vi aldonis permane, restas for.

Riparu tion ĉe la fonto: petu, ke la tasko estu forigita de la aparato aŭ la uzanto, poste forigu la lokan rikordon. Se vi ne povas, traktu la rikordon kiel administrata objekto kaj lasu ĝin trankvila anstataŭ plani forigon, kiu daŭre malgajnas.

Malinstali la klienton estas alia tasko

Trialaj klientoj tenas siajn proprajn konservejojn. Cisco Secure Client, GlobalProtect, OpenVPN GUI kaj la WireGuard-tunela servo ĉiu tenas konektajn datumojn ekster la telefonlibro de Windows. Forigi la denaskan rikordon lasas ĉion tion netuŝita, kaj malinstali la aplikaĵon povas lasi la denaskan rikordon malantaŭe, ĉar la profilo estis importita aparte.

Importoj estas la kutima kaptilo. Se vi aldonis la konekton el .pbk, .cmpbk aŭ elŝutita agorda dosiero, forigi tiun dosieron ne forigas la rikordon, kiun ĝi kreis, kaj remalfermi la dosieron rekreas ĝin. Forigu unue la rikordon, due la dosieron, poste konektu kaj malkonektu unufoje por konfirmi, ke nenio revenis.

Forigo ne estas revoko

Se vi forigas la profilon ĉar tekkomputilo perdiĝis, maŝino estas komunigita aŭ agorda dosiero likis, loka forigo estas preskaŭ kosmetika. La pordego ankoraŭ fidas la atestilon aŭ antaŭdividitan ŝlosilon ĝis la operatoro revokas ĝin. Forigi la rikordon malhelpas ĉi tiun maŝinon komenci novan konekton; ĝi ne malhelpas kopion de la legitimilo konektiĝi aliloke.

Faru la revokon ĉe la flanko, kiu donas aliron: eltiru la atestilon el la fidata listo, malŝaltu la konton, rotaciu la ŝlosilon. Poste purigu la lokan profilon. Inversigu la ordon kaj vi finos kun maŝino sen profilo kaj legitimilo, kiu ankoraŭ funkcias.

Kvarpaŝa kontrolo antaŭ ol nomi ĝin preta

La tuta sinsekvo daŭras proksimume unu minuton kaj kaptas preskaŭ ĉiun forigon en malĝusta amplekso:

1. Listigu ambaŭ ampleksojn kaj notu la precizan nomon kaj servilan adreson.
2. Lanĉu la forigon kun -WhatIf kontraŭ la kongruinta amplekso.
3. Lanĉu ĝin denove sen -WhatIf, altigite se la rikordo estas por ĉiuj uzantoj.
4. Relistigu ambaŭ ampleksojn, remalfermu Agordojn, kaj konfirmu, ke viaj aliaj konektoj ankoraŭ funkcias.

Se paŝo 4 ankoraŭ montras la rikordon, la forigo silente celis la alian amplekson. Se la rikordo revenas post iom da tempo, vi rigardas dissendadon. Se Agordoj ankoraŭ montras ĝin dum ambaŭ cmdlet-listoj estas malplenaj, fermu kaj remalfermu la paĝon, kiu kaŝmemoras sian liston pli longe ol la telefonlibro konservas la rikordon.

Sekva: decidu, ĉu la rikordo estis loka restaĵo aŭ administrata objekto. Restaĵon oni povas sekure forigi unufoje kaj forgesi. Administrata objekto bezonas unue ŝanĝitan taskon, alie via forigo estas nur vetkuro, kiun vi malgajnos. Kaj se la vera celo estis fortranĉi aliron, la ŝanĝo ĉe la pordego gravas multe pli ol io ajn, kion vi faras al la profilo.