A Windows VPN-profil törlése nem vonja vissza a hozzáférést

Törli a kapcsolatot a Windows Beállításokban, újra megnyitja a listát, és a kapcsolat újra ott van. Vagy eltűnt a Beállításokból, de továbbra is válaszol a PowerShellben. Vagy eltávolította a VPN-klienst, és a bejegyzés soha nem tűnt el. Mindhárom egyetlen téves feltevésből ered: hogy a Windows VPN-profil a VPN-szoftver része.

Nem az. A profil egy kapcsolati bejegyzés egy telefonkönyvfájlban. Eltávolítása ezt a bejegyzést törli, egy hatókörben, egy tárolóból. A kliens, a tanúsítványai és az átjáró bizalma az Ön hitelesítő adata iránt pontosan ott marad, ahol volt.

Mit töröl valójában a Remove-VpnConnection

A natív profilok a rasphone.pbk fájlban élnek: egy telefonkönyv minden felhasználói profil alatt, egy pedig gépszinten a ProgramData alatt. A felhasználónkénti bejegyzéseket a Get-VpnConnection listázza; a -AllUserConnection hozzáadásával a gépszintűek jelennek meg. Ugyanaz a név szerepelhet mindkét listában, és a két bejegyzés külön objektum.

Remove-VpnConnection -Name "Old Office" -Force törli a megfelelő felhasználónkénti bejegyzést. Ugyanez a parancs a -AllUserConnection kapcsolóval a gépszintű bejegyzést törli, és emelt szintű shellt igényel. Akárhogy is, a parancsmag csak azt a bejegyzést érinti: nincs eltávolítás, nincs tanúsítványtisztítás, nincs üzenet a szervernek. A Remove-VpnConnection referenciája felsorolja a paramétereket, és mindkét parancsmag támogatja a -WhatIf kapcsolót.

A kérdés tehát nem az, hogyan töröljünk egy VPN-profilt. Hanem az, hogy melyik a két bejegyzés közül, amelyet éppen lát. Egy előnézet egy sorban megválaszolja:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Ha az előnézet azt jelzi, hogy semmi sem egyezik, rossz hatókörben van, és a másik parancs megtalálja a bejegyzést. Ha megnevezi a célpontot, akkor jó helyen jár.

Miért tér vissza a bejegyzés törlés után

Egy profil, amely perceken belül újra megjelenik, soha nem az Öné volt, hogy törölje. Egy felügyelt laptopon a kapcsolat általában telepítésből érkezik: Intune- vagy csoportházirend-alapú VPN-konfiguráció, a hálózati csapat által kiküldött CMAK-csomag vagy bejelentkezési parancsfájl. Törölje a bejegyzést, és a következő házirend-frissítés visszaírja.

Az árulkodó jel az időzítés. A felügyelt profil frissítési ciklusban tér vissza, nem a következő újraindításkor, és ugyanazzal a kiszolgálócímmel és ugyanazzal a hitelesítési módszerrel, amelyet éppen eltávolított. A kézzel hozzáadott profil eltűnik.

Oldja meg a forrásnál: érje el, hogy a hozzárendelést eltávolítsák az eszközről vagy a felhasználótól, majd törölje a helyi bejegyzést. Ha nem megy, kezelje a bejegyzést felügyelt objektumként, és hagyja békén, ahelyett hogy olyan törlést ütemezne, amely mindig veszít.

A kliens eltávolítása más feladat

A harmadik féltől származó kliensek saját tárolókat tartanak. A Cisco Secure Client, a GlobalProtect, az OpenVPN GUI és a WireGuard-alagút szolgáltatás külön-külön, a Windows telefonkönyvén kívül tárolja a kapcsolati adatokat. A natív bejegyzés eltávolítása mindezt érintetlenül hagyja, és az alkalmazás eltávolítása ott hagyhatja a natív bejegyzést, mert a profil külön lett importálva.

Az importálás a szokásos csapda. Ha a kapcsolatot .pbk, .cmpbk vagy letöltött konfigurációs fájlból adta hozzá, a fájl törlése nem törli a létrehozott bejegyzést, és a fájl újranyitása újra létrehozza. Először távolítsa el a bejegyzést, aztán törölje a fájlt, majd csatlakozzon és bontsa a kapcsolatot egyszer, hogy megerősítse: semmi sem tért vissza.

Az eltávolítás nem visszavonás

Ha azért törli a profilt, mert elveszett egy laptop, megosztott egy gép, vagy kiszivárgott egy konfigurációs fájl, a helyi eltávolítás szinte csak kozmetika. Az átjáró továbbra is megbízik a tanúsítványban vagy az előre megosztott kulcsban, amíg az üzemeltető vissza nem vonja. A bejegyzés törlése megakadályozza, hogy ez a gép új kapcsolatot indítson; nem akadályozza meg a hitelesítő adat másolatát abban, hogy máshonnan csatlakozzon.

A visszavonást azon az oldalon végezze, amely a hozzáférést adja: vegye ki a tanúsítványt a megbízhatóak listájából, tiltsa le a fiókot, cserélje a kulcsot. Utána tisztítsa a helyi profilt. Fordítsa meg a sorrendet, és egy profil nélküli géppel meg egy továbbra is működő hitelesítő adattal marad.

Négylépéses ellenőrzés, mielőtt késznek nyilvánítja

A teljes folyamat körülbelül egy percet vesz igénybe, és szinte minden rossz hatókörű törlést elkap:

1. Listázza mindkét hatókört, és írja fel a pontos nevet és a kiszolgálócímet.
2. Futtassa a törlést a -WhatIf kapcsolóval az egyező hatókörön.
3. Futtassa újra a -WhatIf nélkül, emelt szinten, ha a bejegyzés minden felhasználóra vonatkozik.
4. Listázza újra mindkét hatókört, nyissa meg újra a Beállításokat, és erősítse meg, hogy a többi kapcsolata továbbra is működik.

Ha a 4. lépés még mindig mutatja a bejegyzést, a törlés csendben a másik hatókört célozta. Ha a bejegyzés egy idő után visszatér, telepítéssel van dolga. Ha a Beállítások még mutatják, miközben mindkét parancsmaglistája üres, zárja be és nyissa meg újra az oldalt; tovább tartja gyorsítótárban a listáját, mint amennyi ideig a telefonkönyv megőrzi a bejegyzést.

Ezután: döntse el, hogy a bejegyzés helyi maradvány vagy felügyelt objektum volt-e. Egy maradványt biztonságos egyszer törölni és elfelejteni. A felügyelt objektumhoz először a hozzárendelést kell megváltoztatni, különben a törlése csak egy verseny, amelyet elveszít. És ha az igazi cél a hozzáférés elvágása volt, az átjáró módosítása sokkal többet számít, mint bármi, amit a profillal tesz.