Å fjerne en Windows-VPN-profil tilbakekaller ikke tilgang

Sletting av en Windows-VPN-profil rydder én telefonbokoppføring, ikke klientens eller serverens tillit. Fjern riktig omfang, og kontroller at den blir borte.

Du sletter tilkoblingen i Windows Innstillinger, åpner listen på nytt, og den er tilbake. Eller den er borte fra Innstillinger, men svarer fortsatt på PowerShell. Eller du avinstallerte VPN-klienten, og oppføringen forsvant aldri. Alle tre kommer fra én feil antakelse: at en Windows-VPN-profil er en del av VPN-programvaren.

Det er den ikke. En profil er en tilkoblingsoppføring i en telefonbokfil. Å fjerne den sletter oppføringen, i ett omfang, fra ett lager. Klienten, sertifikatene dens og gatewayens tillit til legitimasjonen din blir nøyaktig der de var.

Hva Remove-VpnConnection faktisk sletter

Innebygde profiler ligger i rasphone.pbk: én telefonbok under hver brukerprofil, én maskinvid under ProgramData. Get-VpnConnection viser oppføringene per bruker; legger du til -AllUserConnection vises de for hele maskinen. Samme navn kan finnes i begge listene, og de to oppføringene er separate objekter.

Remove-VpnConnection -Name "Old Office" -Force sletter den samsvarende oppføringen per bruker. Samme kommando med -AllUserConnection sletter den maskinvide oppføringen og krever et forhøyet skall. Uansett rører cmdleten bare den oppføringen: ingen avinstallering, ingen sertifikatopprydding, ingen melding til serveren. Referansen for Remove-VpnConnection viser parameterne, og begge cmdletene støtter -WhatIf.

Spørsmålet før du kjører noe er derfor ikke hvordan du sletter en VPN-profil. Det er hvilken av de to oppføringene du ser på. En forhåndsvisning svarer på det i én linje:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Sier forhåndsvisningen at ingenting samsvarer, er du i feil omfang, og den andre kommandoen finner oppføringen. Navngir den målet, har du det riktige.

Hvorfor oppføringen kommer tilbake etter at du slettet den

En profil som dukker opp igjen innen noen minutter var aldri din å slette. På en administrert bærbar maskin kommer tilkoblingen vanligvis fra en utrulling: en VPN-konfigurasjon fra Intune eller gruppepolicy, en CMAK-pakke sendt ut av nettverksteamet, eller et påloggingsskript. Slett oppføringen, og neste policyoppdatering skriver den tilbake.

Tegnet er tidspunktet. En administrert profil kommer tilbake ved en oppdateringssyklus, ikke ved neste omstart, og den kommer tilbake med samme serveradresse og samme autentiseringsmetode som du nettopp fjernet. En profil du la til for hånd, blir borte.

Rett det ved kilden: få fjernet tildelingen fra enheten eller brukeren, og slett deretter den lokale oppføringen. Kan du ikke det, behandle oppføringen som et administrert objekt og la den være i stedet for å planlegge en sletting som stadig taper.

Å avinstallere klienten er en annen jobb

Tredjepartsklienter har egne lagre. Cisco Secure Client, GlobalProtect, OpenVPN GUI og WireGuard-tunneltjenesten holder hver sine tilkoblingsdata utenfor Windows telefonboken. Å fjerne den innebygde oppføringen lar alt det være urørt, og å avinstallere appen kan etterlate den innebygde oppføringen fordi profilen ble importert separat.

Importer er den vanlige fellen. Hvis du la til tilkoblingen fra en .pbk, en .cmpbk eller en nedlastet konfigurasjonsfil, sletter ikke slettingen av den filen oppføringen den laget, og åpner du filen igjen, gjenopprettes den. Fjern oppføringen først, slett filen etterpå, og koble til og fra én gang for å bekrefte at ingenting kom tilbake.

Fjerning er ikke tilbakekalling

Hvis du sletter profilen fordi en bærbar maskin er borte, en maskin deles eller en konfigurasjonsfil har lekket, er lokal fjerning nesten bare kosmetisk. Gatewayen stoler fortsatt på sertifikatet eller den forhåndsdelt nøkkelen til operatøren tilbakekaller den. Å slette oppføringen hindrer denne maskinen i å starte en ny tilkobling; det hindrer ikke en kopi av legitimasjonen i å koble til andre steder.

Gjør tilbakekallingen på siden som gir tilgang: ta sertifikatet ut av listen over klarerte, deaktiver kontoen, roter nøkkelen. Rydd deretter den lokale profilen. Snu rekkefølgen, og du sitter med en maskin uten profil og en legitimasjon som fortsatt virker.

En kontroll i fire trinn før du kaller det ferdig

Hele sekvensen tar omtrent et minutt og fanger nesten all fjerning i feil omfang:

  1. Vis begge omfangene og skriv ned det nøyaktige navnet og serveradressen.
  2. Kjør fjerningen med -WhatIf mot omfanget som samsvarte.
  3. Kjør den igjen uten -WhatIf, forhøyet hvis oppføringen gjelder alle brukere.
  4. Vis begge omfangene igjen, åpne Innstillinger på nytt og bekreft at de andre tilkoblingene dine fortsatt virker.

Viser trinn 4 fortsatt oppføringen, rammet fjerningen stille det andre omfanget. Kommer oppføringen tilbake etter en stund, ser du på en utrulling. Viser Innstillinger den fortsatt mens begge cmdlet-listene er tomme, lukk og åpne siden på nytt; den bufrer listen lenger enn telefonboken beholder oppføringen.

Deretter: avgjør om oppføringen var en lokal rest eller et administrert objekt. En rest er trygg å slette én gang og glemme. Et administrert objekt krever at tildelingen endres først, ellers er fjerningen din bare et kappløp du taper. Og hvis det egentlige målet var å kutte tilgangen, betyr endringen i gatewayen mye mer enn alt du gjør med profilen.

Relaterte artikler