Usunięcie profilu VPN w Windows nie odbiera dostępu

Usunięcie profilu VPN w Windows czyści jeden wpis książki telefonicznej, a nie zaufanie klienta lub serwera. Usuń właściwy zakres i sprawdź, że wpis nie wrócił.

Usuwasz połączenie w Ustawieniach Windows, otwierasz listę ponownie, a ono wraca. Albo zniknęło z Ustawień, ale nadal odpowiada w PowerShell. Albo odinstalowałeś klienta VPN, a wpis nigdy nie zniknął. Wszystkie trzy przypadki wynikają z jednego błędnego założenia: że profil VPN w Windows jest częścią oprogramowania VPN.

Nie jest. Profil to wpis połączenia w pliku książki telefonicznej. Usunięcie go kasuje ten wpis w jednym zakresie z jednego magazynu. Klient, jego certyfikaty i zaufanie bramy do twojego poświadczenia zostają dokładnie tam, gdzie były.

Co naprawdę usuwa Remove-VpnConnection

Profile natywne mieszkają w rasphone.pbk: jedna książka telefoniczna w każdym profilu użytkownika, jedna dla całej maszyny w ProgramData. Wpisy dla użytkownika wylicza Get-VpnConnection; dodanie -AllUserConnection wylicza te dla całej maszyny. Ta sama nazwa może istnieć na obu listach, a oba wpisy to osobne obiekty.

Remove-VpnConnection -Name "Old Office" -Force usuwa pasujący wpis użytkownika. To samo polecenie z -AllUserConnection usuwa wpis dla całej maszyny i wymaga podniesionej powłoki. Tak czy inaczej polecenie dotyka tylko tego wpisu: żadnej deinstalacji, żadnego czyszczenia certyfikatów, żadnej wiadomości do serwera. Dokumentacja Remove-VpnConnection wymienia parametry, a oba polecenia obsługują -WhatIf.

Pytanie przed uruchomieniem czegokolwiek nie brzmi więc, jak usunąć profil VPN. Brzmi, na który z dwóch wpisów patrzysz. Podgląd odpowiada na to w jednej linii:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Jeśli podgląd zgłasza, że nic nie pasuje, jesteś w złym zakresie, a drugie polecenie znajdzie wpis. Jeśli wskazuje cel, masz właściwy.

Dlaczego wpis wraca po usunięciu

Profil, który pojawia się ponownie w ciągu kilku minut, nigdy nie był twój do usunięcia. Na zarządzanym laptopie połączenie zwykle przychodzi z wdrożenia: konfiguracja VPN z Intune lub zasady grupy, pakiet CMAK wysłany przez zespół sieciowy albo skrypt logowania. Usuń wpis, a następne odświeżenie zasad zapisze go z powrotem.

Sygnałem jest czas. Zarządzany profil wraca w cyklu odświeżania, nie przy następnym rozruchu, i wraca z tym samym adresem serwera i tą samą metodą uwierzytelniania, które właśnie usunąłeś. Profil dodany ręcznie zostaje usunięty.

Napraw to u źródła: doprowadź do zdjęcia przypisania z urządzenia lub użytkownika, a potem usuń lokalny wpis. Jeśli nie możesz, traktuj wpis jako obiekt zarządzany i zostaw go w spokoju, zamiast planować usuwanie, które zawsze przegrywa.

Odinstalowanie klienta to inne zadanie

Klienci firm trzecich mają własne magazyny. Cisco Secure Client, GlobalProtect, OpenVPN GUI i usługa tunelu WireGuard trzymają dane połączeń poza książką telefoniczną Windows. Usunięcie natywnego wpisu zostawia to wszystko nietknięte, a odinstalowanie aplikacji może zostawić natywny wpis, bo profil został zaimportowany osobno.

Importy to typowa pułapka. Jeśli dodałeś połączenie z pliku .pbk, .cmpbk albo pobranego pliku konfiguracji, usunięcie tego pliku nie usuwa utworzonego wpisu, a ponowne otwarcie pliku odtwarza go. Najpierw usuń wpis, potem usuń plik, a następnie połącz się i rozłącz raz, aby potwierdzić, że nic nie wróciło.

Usunięcie to nie odebranie

Jeśli usuwasz profil, bo laptop zginął, maszyna jest współdzielona albo wyciekł plik konfiguracji, lokalne usunięcie jest niemal kosmetyczne. Brama nadal ufa certyfikatowi lub kluczowi wstępnemu, dopóki operator go nie odbierze. Usunięcie wpisu nie pozwala tej maszynie rozpocząć nowego połączenia; nie powstrzymuje kopii poświadczenia przed połączeniem się gdzie indziej.

Odbierz dostęp po stronie, która go przyznaje: wyjmij certyfikat z listy zaufanych, wyłącz konto, wymień klucz. Potem wyczyść lokalny profil. Odwróć kolejność, a zostanie ci maszyna bez profilu i poświadczenie, które wciąż działa.

Kontrola w czterech krokach, zanim uznasz to za skończone

Cała sekwencja zajmuje około minuty i wyłapuje niemal każde usunięcie w złym zakresie:

  1. Wylistuj oba zakresy i zapisz dokładną nazwę oraz adres serwera.
  2. Uruchom usunięcie z -WhatIf wobec zakresu, który pasował.
  3. Uruchom je ponownie bez -WhatIf, z podniesieniem, jeśli wpis dotyczy wszystkich użytkowników.
  4. Wylistuj oba zakresy ponownie, otwórz Ustawienia i potwierdź, że inne połączenia nadal działają.

Jeśli krok 4 nadal pokazuje wpis, usunięcie po cichu trafiło w drugi zakres. Jeśli wpis wraca po chwili, patrzysz na wdrożenie. Jeśli Ustawienia nadal go pokazują, a obie listy polecenia są puste, zamknij i otwórz stronę ponownie; trzyma ona listę w pamięci podręcznej dłużej, niż książka telefoniczna zachowuje wpis.

Dalej: zdecyduj, czy wpis był lokalną pozostałością, czy obiektem zarządzanym. Pozostałość można bezpiecznie usunąć raz i zapomnieć. Obiekt zarządzany wymaga najpierw zmiany przypisania, inaczej twoje usunięcie to tylko wyścig, który przegrasz. A jeśli prawdziwym celem było odcięcie dostępu, zmiana na bramie znaczy znacznie więcej niż cokolwiek, co zrobisz z profilem.

Powiązane artykuły