Windows VPN のルートはテーブルではなくプロファイルから削除する

ルートを削除し、消えるのを確認しても、次の接続でそれは戻ってきます。削除コマンドが失敗しているのではなく、別のオブジェクトがエントリを復元しているのです。あなたのコマンドは有効なルーティングテーブルに作用しましたが、何か別のものが、接続のたびにルートを再インストールする保存済みの命令を保持しています。同じエントリを三度目に削除する前に、所有者を突き止めてください。

削除を繰り返す前に所有者を特定する

ルートが存在するうちに、正確な宛先プレフィックス、有効なインターフェース、プロファイル名を記録します。次に、意図されたプロファイルをそれが保持されているスコープで確認します。ユーザーごとと全ユーザーの接続一覧は別個のオブジェクトだからです。スクリプト、VPN サービス、デバイス管理もエントリをインストールしていないか調べ、明白な所有者がどれも説明しない場合はスタートアップ項目も確認します。スケジュールされたタスクが追加したルートは、接続時ではなくタイマーで戻ります。

タイミングで候補はすぐ絞れます。再接続のときだけ戻るルートはプロファイルを指し、接続が維持されている間に戻るルートはスクリプト、サービス、ポリシーの更新を指します。

有効なルートではなく、保存されたルートを削除する

ネイティブのプロファイルでは、削除に接続名と宛先プレフィックスが必要で、接続がグローバル電話帳に属する場合は全ユーザー用のスイッチも加えます。まずプレビューを行います。cmdlet が対応しており、プレビューに費用はかかりません。

Remove-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.77.0.0/24' -WhatIf
Remove-VpnConnectionRoute -ConnectionName 'Office VPN' -DestinationPrefix '10.77.0.0/24'

これは一致する有効なエントリではなく、保存された命令を削除します。その違いが、変更を再接続後も維持させます。テーブルからの削除は、次の接続までの時間を稼ぐだけです。Microsoft はこの cmdlet を VPN 接続からルートを削除するものとして文書化しており、それが変更したいオブジェクトです。

うまくいったと決めつけずに出力を読みます。cmdlet は変更した接続を報告し、次の手順で有効なテーブルではなく保存された構成から変更を確認します。

保存されたルートを読み戻す

プロファイルに現在どのルートを保持しているか問い合わせます。保存されたコレクションが正式な答えであり、テーブルは単なる複製だからです。接続オブジェクトは独自のルート一覧を持っています。

Get-VpnConnection -Name 'Office VPN' | Select-Object -ExpandProperty Routes
Get-VpnConnection -AllUserConnection | Select-Object Name, Routes

そのコレクションにまだ現れるプレフィックスは、テーブルから何度削除しても次の接続で戻ります。コレクションから消えたのにテーブルに残っているプレフィックスは所有者が別であり、タイミングの問いに戻ることになります。

接続が有効なうちに二つの一覧を比較します。有効なテーブルにあり保存されたコレクションにないプレフィックスは、スクリプトとポリシーを指すケースです。両方にあるプレフィックスは、プロファイルが所有するケースです。この比較が診断のすべてであり、費用は再接続一回分です。

管理ポリシーがルートを所有する場合

デバイス管理が提供するプロファイルは編集するものではなく、ローカルの変更は次のポリシー更新で置き換えられます。兆候は、削除に成功した後に再び現れる保存済みルート、または持っていない昇格なしでは変更できないプロファイルです。cmdlet にさらに時間を費やす前に、デバイスの登録状態を確認してください。

是正措置はポリシー側にあります。管理コンソールの VPN プロファイル定義から、またはそれを配布するグループポリシーからプレフィックスを削除します。ローカルの複製を再び編集するのではなく、そのポリシーの所有者に変更の確認を依頼します。そうすれば次回の更新でデバイスはポリシーに一致し、ルートは次の配布を越えても戻らない理由を得ます。

何が所有していたかを記録する

所有者、スコープ、正確なコマンドを書き留め、次の担当者が調査を最初から繰り返さないようにします。エントリが戻ったかどうか、何が引き金になったかを記録します。それが所有者を正しく特定した証拠だからです。ポリシー更新後に戻るルートは、ポリシーがまだそう指示していることを告げています。

有効なルートの削除は、経路が重要かどうかを確かめる正当な簡易テストです。構成変更ではなく、そのように記録すべきでもありません。意味のある変更は、命令が存在する場所で行うものです。