Windows VPN profila dzēšana neatceļ piekļuvi

Jūs dzēšat savienojumu Windows iestatījumos, atkal atverat sarakstu, un tas ir atpakaļ. Vai arī tas ir pazudis no Iestatījumiem, bet joprojām atbild PowerShell. Vai arī jūs atinstalējāt VPN klientu, un ieraksts nekad nav pazudis. Visi trīs nāk no viena nepareiza pieņēmuma: ka Windows VPN profils ir VPN programmatūras daļa.

Tas tā nav. Profils ir savienojuma ieraksts tālruņu grāmatas failā. Tā noņemšana dzēš šo ierakstu vienā tvērumā, no vienas krātuves. Klients, tā sertifikāti un vārtejas uzticība jūsu akreditācijas datiem paliek tieši tur, kur bija.

Ko īsti dzēš Remove-VpnConnection

Vietējie profili dzīvo rasphone.pbk: viena tālruņu grāmata zem katra lietotāja profila, viena mašīnas līmenī zem ProgramData. Get-VpnConnection uzskaita lietotāja ierakstus; pievienojot -AllUserConnection, tiek uzskaitīti mašīnas līmeņa ieraksti. Viens un tas pats nosaukums var būt abos sarakstos, un abi ieraksti ir atsevišķi objekti.

Remove-VpnConnection -Name "Old Office" -Force dzēš atbilstošo lietotāja ierakstu. Tā pati komanda ar -AllUserConnection dzēš mašīnas līmeņa ierakstu un prasa paaugstinātu čaulu. Jebkurā gadījumā cmdlet pieskaras tikai šim ierakstam: nav atinstalēšanas, nav sertifikātu tīrīšanas, nav ziņas serverim. Remove-VpnConnection atsauce uzskaita parametrus, un abi cmdlet atbalsta -WhatIf.

Tāpēc jautājums pirms kaut kā palaišanas nav, kā dzēst VPN profilu. Jautājums ir, kuru no diviem ierakstiem jūs skatāties. Priekšskatījums atbild uz to vienā rindā:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Ja priekšskatījums ziņo, ka nekas neatbilst, jūs esat nepareizajā tvērumā, un otra komanda atradīs ierakstu. Ja tas nosauc mērķi, jums ir pareizais.

Kāpēc ieraksts atgriežas pēc dzēšanas

Profils, kas atkal parādās dažu minūšu laikā, nekad nav bijis jūsu dzēšanai. Pārvaldītā klēpjdatorā savienojums parasti nāk no izvietošanas: Intune vai grupas politikas VPN konfigurācija, tīkla komandas nosūtīta CMAK pakotne vai pieteikšanās skripts. Dzēsiet ierakstu, un nākamā politikas atsvaidzināšana to ierakstīs atpakaļ.

Pazīme ir laiks. Pārvaldīts profils atgriežas atsvaidzināšanas ciklā, nevis nākamajā pārstartēšanā, un atgriežas ar to pašu servera adresi un autentifikācijas metodi, ko tikko noņēmāt. Ar roku pievienots profils paliek prom.

Izlabojiet to avotā: lieciet noņemt piešķīrumu no ierīces vai lietotāja, pēc tam dzēsiet vietējo ierakstu. Ja nevarat, uzskatiet ierakstu par pārvaldītu objektu un atstājiet to mierā, nevis plānojiet noņemšanu, kas pastāvīgi zaudē.

Klienta atinstalēšana ir cits darbs

Trešo pušu klienti uztur savas krātuves. Cisco Secure Client, GlobalProtect, OpenVPN GUI un WireGuard tuneļa pakalpojums katrs glabā savienojuma datus ārpus Windows tālruņu grāmatas. Vietējā ieraksta noņemšana atstāj to visu neskartu, un programmas atinstalēšana var atstāt vietējo ierakstu aiz sevis, jo profils tika importēts atsevišķi.

Imports ir ierastās lamatas. Ja pievienojāt savienojumu no .pbk, .cmpbk vai lejupielādēta konfigurācijas faila, šī faila dzēšana nedzēš tā izveidoto ierakstu, un faila atkalatvēršana to izveido no jauna. Vispirms noņemiet ierakstu, otro failu dzēsiet, pēc tam vienreiz savienojieties un atvienojieties, lai apstiprinātu, ka nekas nav atgriezies.

Noņemšana nav atsaukšana

Ja dzēšat profilu tāpēc, ka klēpjdators ir pazaudēts, mašīna tiek koplietota vai konfigurācijas fails ir noplūdis, vietējā noņemšana ir gandrīz kosmētiska. Vārteja joprojām uzticas sertifikātam vai iepriekš koplietotai atslēgai, līdz operators to atsauc. Ieraksta dzēšana aptur šo mašīnu sākt jaunu savienojumu; tā neaptur akreditācijas datu kopiju savienoties citur.

Veiciet atsaukšanu tajā pusē, kas piešķir piekļuvi: izvelciet sertifikātu no uzticamo saraksta, atspējojiet kontu, pagrieziet atslēgu. Pēc tam notīriet vietējo profilu. Apgrieziet secību, un jums paliks mašīna bez profila un akreditācijas dati, kas joprojām darbojas.

Četru soļu pārbaude pirms pabeigšanas

Visa secība aizņem apmēram minūti un pārtver gandrīz katru nepareizā tvēruma noņemšanu:

1. Uzskaitiet abus tvērumus un pierakstiet precīzu nosaukumu un servera adresi.
2. Palaidiet noņemšanu ar -WhatIf pret tvērumu, kas atbilda.
3. Palaidiet to vēlreiz bez -WhatIf, paaugstināti, ja ieraksts ir visiem lietotājiem.
4. Uzskaitiet abus tvērumus vēlreiz, atkal atveriet Iestatījumus un apstipriniet, ka citi jūsu savienojumi joprojām darbojas.

Ja 4. solis joprojām rāda ierakstu, noņemšana klusi vērsās pret otru tvērumu. Ja ieraksts atgriežas pēc brīža, jūs redzat izvietošanu. Ja Iestatījumi to joprojām rāda, kamēr abi cmdlet saraksti ir tukši, aizveriet un atkal atveriet lapu, kas savu sarakstu kešo ilgāk, nekā tālruņu grāmata saglabā ierakstu.

Tālāk: izlemiet, vai ieraksts bija vietēja atlieka vai pārvaldīts objekts. Atlieku droši var dzēst vienreiz un aizmirst. Pārvaldītam objektam vispirms jāmaina piešķīrums, citādi jūsu noņemšana ir tikai sacīkstes, kuras jūs zaudēsiet. Un ja īstais mērķis bija nogriezt piekļuvi, izmaiņas vārtejā nozīmē daudz vairāk nekā jebkas, ko jūs darāt ar profilu.