Å fjerna ein Windows-VPN-profil kallar ikkje attende tilgang

Du slettar tilknytinga i Windows Innstillingar, opnar lista på nytt, og ho er tilbake. Eller ho er borte frå Innstillingar, men svarar framleis på PowerShell. Eller du avinstallerte VPN-klienten, og oppføringa forsvann aldri. Alle tre kjem frå ein galen føresetnad: at ein Windows-VPN-profil er ein del av VPN-programvara.

Det er han ikkje. Ein profil er ei tilknytingsoppføring i ei telefonbokfil. Å fjerna han slettar oppføringa, i eitt omfang, frå eitt lager. Klienten, sertifikata hans og tillita til gatewayen i legitimasjonen din blir nøyaktig der dei var.

Kva Remove-VpnConnection faktisk slettar

Innebygde profilar ligg i rasphone.pbk: éi telefonbok under kvar brukarprofil, éi maskinvid under ProgramData. Get-VpnConnection viser oppføringane per brukar; legg du til -AllUserConnection blir dei for heile maskinen viste. Same namn kan finnast i begge listene, og dei to oppføringane er skilde objekt.

Remove-VpnConnection -Name "Old Office" -Force slettar den samsvarande oppføringa per brukar. Same kommandoen med -AllUserConnection slettar den maskinvide oppføringa og krev eit forhøgd skal. Uansett rører cmdleten berre den oppføringa: inga avinstallering, inga sertifikatopprydding, inga melding til serveren. Referansen for Remove-VpnConnection viser parametrane, og begge cmdletane støttar -WhatIf.

Spørsmålet før du køyrer noko er derfor ikkje korleis ein slettar ein VPN-profil. Det er kva av dei to oppføringane du ser på. Ei førehandsvising svarar på det i éi linje:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Seier førehandsvisinga at ingenting samsvarar, er du i feil omfang, og den andre kommandoen finn oppføringa. Nemner ho målet, har du det rette.

Kvifor oppføringa kjem tilbake etter at du sletta ho

Ein profil som dukkar opp att innan nokre minutt var aldri din å sletta. På ein administrert berbar maskin kjem tilknytinga vanlegvis frå ein utrulling: ein VPN-konfigurasjon frå Intune eller gruppepolicy, ein CMAK-pakke send ut av nettverksteamet, eller eit påloggingsskript. Slett oppføringa, og neste policyoppdatering skriv ho tilbake.

Teiknet er tidspunktet. Ein administrert profil kjem tilbake ved ein oppdateringssyklus, ikkje ved neste omstart, og han kjem tilbake med same serveradresse og same autentiseringsmetode som du nettopp fjerna. Ein profil du la til for hand, blir borte.

Retta det ved kjelda: få fjerna tildelinga frå eininga eller brukaren, og slett deretter den lokale oppføringa. Kan du ikkje det, handsama oppføringa som eit administrert objekt og lat ho vera i staden for å planleggja ei sletting som stadig tapar.

Å avinstallera klienten er ein annan jobb

Tredjepartsklientar har eigne lager. Cisco Secure Client, GlobalProtect, OpenVPN GUI og WireGuard-tunneltjenesta held kvar sine tilknytingsdata utanfor Windows telefonboka. Å fjerna den innebygde oppføringa lèt alt det vera urørt, og å avinstallera appen kan etterlata den innebygde oppføringa fordi profilen vart importert separat.

Importar er den vanlege fella. Viss du la til tilknytinga frå ei .pbk, ei .cmpbk eller ei nedlasta konfigurasjonsfil, slettar ikkje slettinga av den fila oppføringa ho laga, og opnar du fila igjen, blir ho gjenoppretta. Fjern oppføringa først, slett fila etterpå, og kople til og frå éin gong for å stadfesta at ingenting kom tilbake.

Fjerning er ikkje tilbakekalling

Viss du slettar profilen fordi ein berbar maskin er borte, ein maskin blir delt eller ei konfigurasjonsfil har lekka, er lokal fjerning nesten berre kosmetisk. Gatewayen stolar framleis på sertifikatet eller den førehandsdelte nøkkelen til operatøren kallar han attende. Å sletta oppføringa hindrar denne maskinen i å starta ei ny tilknyting; det hindrar ikkje ein kopi av legitimasjonen i å kopla til andre stader.

Gjer tilbakekallinga på sida som gir tilgang: ta sertifikatet ut av lista over klarerte, deaktiver kontoen, roter nøkkelen. Rydd deretter den lokale profilen. Snur du rekkjefølgja, sit du med ein maskin utan profil og ein legitimasjon som framleis verkar.

Ein kontroll i fire trinn før du kallar det ferdig

Heile sekvensen tek omtrent eit minutt og fangar nesten all fjerning i feil omfang:

1. Vis begge omfanga og skriv ned det nøyaktige namnet og serveradressa.
2. Køyr fjerninga med -WhatIf mot omfanget som samsvarte.
3. Køyr ho igjen utan -WhatIf, forhøgd viss oppføringa gjeld alle brukarar.
4. Vis begge omfanga igjen, opne Innstillingar på nytt og stadfest at dei andre tilknytingane dine framleis verkar.

Viser trinn 4 framleis oppføringa, råka fjerninga stille det andre omfanget. Kjem oppføringa tilbake etter ei stund, ser du på ein utrulling. Viser Innstillingar ho framleis medan begge cmdlet-listene er tomme, lat att og opne sida på nytt; ho bufrer lista lengre enn telefonboka held på oppføringa.

Deretter: avgjer om oppføringa var ein lokal rest eller eit administrert objekt. Ein rest er trygg å sletta éin gong og gløyma. Eit administrert objekt krev at tildelinga blir endra først, elles er fjerninga di berre eit kappløp du tapar. Og viss det eigentlege målet var å kutta tilgangen, tyder endringa i gatewayen mykje meir enn alt du gjer med profilen.