Windows VPN 프로필을 삭제해도 액세스가 취소되지는 않습니다

Windows VPN 프로필을 삭제하면 전화번호부 기록 하나가 지워질 뿐, 클라이언트나 서버의 신뢰는 그대로입니다. 올바른 범위를 제거한 뒤 실제로 사라졌는지 확인하세요.

Windows 설정에서 연결을 삭제하고 목록을 다시 열면 연결이 돌아와 있습니다. 또는 설정에서는 사라졌는데 PowerShell에는 여전히 응답합니다. 또는 VPN 클라이언트를 제거했는데 항목이 전혀 사라지지 않았습니다. 세 가지 모두 Windows VPN 프로필이 VPN 소프트웨어의 일부라는 하나의 잘못된 가정에서 나옵니다.

그렇지 않습니다. 프로필은 전화번호부 파일에 있는 연결 기록입니다. 프로필을 제거하면 그 기록이 하나의 범위에서, 하나의 저장소에서 삭제됩니다. 클라이언트, 인증서, 그리고 게이트웨이가 자격 증명을 신뢰하는 상태는 원래 있던 그대로 남습니다.

Remove-VpnConnection이 실제로 삭제하는 것

기본 프로필은 rasphone.pbk에 있으며, 사용자 프로필마다 전화번호부 하나, ProgramData 아래에 컴퓨터 전체용 하나가 있습니다. Get-VpnConnection은 사용자별 항목을 나열하고, -AllUserConnection을 추가하면 컴퓨터 전체 항목이 나열됩니다. 같은 이름이 두 목록에 모두 있을 수 있으며, 두 기록은 별개의 개체입니다.

Remove-VpnConnection -Name "Old Office" -Force은 일치하는 사용자별 기록을 삭제합니다. -AllUserConnection을 붙인 같은 명령은 컴퓨터 전체 기록을 삭제하며 관리자 셸이 필요합니다. 어느 쪽이든 이 cmdlet은 해당 기록만 건드리며, 제거도, 인증서 정리도, 서버로 보내는 메시지도 없습니다. Remove-VpnConnection 참조에는 매개 변수가 나열되어 있으며, 두 cmdlet 모두 -WhatIf을 지원합니다.

따라서 무엇이든 실행하기 전의 질문은 VPN 프로필을 어떻게 삭제하느냐가 아니라 두 기록 중 어느 것을 보고 있느냐입니다. 미리 보기가 한 줄로 답합니다.

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

미리 보기에서 일치하는 항목이 없다고 나오면 범위가 잘못된 것이며 다른 명령이 항목을 찾아냅니다. 대상 이름이 나오면 올바른 기록입니다.

삭제한 뒤 항목이 다시 나타나는 이유

몇 분 만에 다시 나타나는 프로필은 애초에 삭제할 대상이 아니었습니다. 관리되는 노트북에서는 연결이 보통 Intune 또는 그룹 정책 VPN 구성, 네트워크 팀이 배포하는 CMAK 패키지, 또는 로그온 스크립트 같은 배포에서 옵니다. 기록을 삭제해도 다음 정책 새로 고침에서 다시 기록됩니다.

단서는 시점입니다. 관리되는 프로필은 다음 재부팅이 아니라 새로 고침 주기에 돌아오며, 방금 제거한 것과 같은 서버 주소와 인증 방법으로 돌아옵니다. 직접 추가한 프로필은 사라진 채로 남습니다.

원천에서 고치려면 장치나 사용자에게서 할당을 제거하게 한 뒤 로컬 기록을 삭제합니다. 그럴 수 없다면 해당 항목을 관리되는 개체로 취급하고, 계속 지기만 하는 제거를 예약하는 대신 그대로 두세요.

클라이언트 제거는 다른 작업입니다

타사 클라이언트는 자체 저장소를 유지합니다. Cisco Secure Client, GlobalProtect, OpenVPN GUI, WireGuard 터널 서비스는 각각 연결 데이터를 Windows 전화번호부 밖에 보관합니다. 기본 항목을 제거해도 그 데이터는 그대로이며, 앱을 제거해도 프로필이 따로 가져온 것이기 때문에 기본 항목이 남을 수 있습니다.

가져오기가 흔한 함정입니다. .pbk, .cmpbk 또는 내려받은 구성 파일에서 연결을 추가했다면, 그 파일을 삭제해도 파일이 만든 기록은 삭제되지 않고, 파일을 다시 열면 기록이 다시 만들어집니다. 항목을 먼저 제거하고 파일을 그다음에 삭제한 뒤, 한 번 연결하고 끊어 아무것도 돌아오지 않았는지 확인하세요.

제거는 취소가 아닙니다

노트북을 잃어버렸거나, 컴퓨터를 공유하거나, 구성 파일이 유출되어 프로필을 삭제하는 경우라면 로컬 제거는 거의 겉치레입니다. 운영자가 취소할 때까지 게이트웨이는 인증서나 사전 공유 키를 여전히 신뢰합니다. 기록을 삭제하면 이 컴퓨터가 새 연결을 시작하지는 못하지만, 자격 증명 사본이 다른 곳에서 연결하는 것은 막지 못합니다.

취소는 액세스를 부여하는 쪽에서, 인증서를 신뢰 목록에서 빼고, 계정을 비활성화하고, 키를 교체하세요. 그다음 로컬 프로필을 정리하세요. 순서를 바꾸면 프로필이 없는 컴퓨터와 여전히 동작하는 자격 증명이 남습니다.

끝났다고 하기 전의 네 단계 확인

전체 순서는 약 일 분이 걸리며 잘못된 범위의 제거를 거의 모두 잡아냅니다:

  1. 두 범위를 모두 나열하고 정확한 이름과 서버 주소를 적어 두세요.
  2. 일치한 범위에 대해 -WhatIf과 함께 제거를 실행하세요.
  3. -WhatIf 없이 다시 실행하되, 항목이 모든 사용자 대상이면 관리자 권한으로 실행하세요.
  4. 두 범위를 다시 나열하고 설정을 다시 열어 다른 연결이 여전히 동작하는지 확인하세요.

4단계에서도 항목이 보이면 제거가 조용히 다른 범위를 대상으로 한 것입니다. 잠시 뒤 항목이 돌아오면 배포를 보고 있는 것이므로, 두 cmdlet 목록이 모두 비어 있는데도 설정에 항목이 보이면 페이지를 닫았다가 다시 여세요. 설정은 전화번호부가 기록을 보관하는 것보다 목록을 더 오래 캐시합니다.

다음: 항목이 로컬 잔여물인지 관리되는 개체인지 판단하세요. 잔여물은 한 번 삭제하고 잊어도 안전합니다. 관리되는 개체는 먼저 할당을 바꿔야 하며, 그렇지 않으면 제거는 그저 지게 될 경쟁입니다. 그리고 진짜 목적이 액세스를 차단하는 것이었다면, 게이트웨이 쪽 변경이 프로필에 하는 어떤 작업보다 훨씬 중요합니다.

관련 글