Ștergerea unui profil VPN din Windows nu revocă accesul

Ștergerea unui profil VPN din Windows curăță o înregistrare din cartea de telefoane, nu încrederea clientului sau a serverului. Eliminați domeniul corect și verificați că nu a revenit.

Ștergeți conexiunea din Setările Windows, redeschideți lista și ea este din nou acolo. Sau a dispărut din Setări, dar răspunde în continuare la PowerShell. Sau ați dezinstalat clientul VPN și intrarea nu a plecat niciodată. Toate trei provin dintr-o singură presupunere greșită: că un profil VPN din Windows face parte din software-ul VPN.

Nu face. Un profil este o înregistrare de conexiune într-un fișier de carte de telefoane. Eliminarea lui șterge acea înregistrare, într-un singur domeniu, dintr-un singur depozit. Clientul, certificatele lui și încrederea gateway-ului în acreditarea dumneavoastră rămân exact acolo unde erau.

Ce șterge de fapt Remove-VpnConnection

Profilurile native stau în rasphone.pbk: o carte de telefoane sub fiecare profil de utilizator, una pentru toată mașina în ProgramData. Intrările per utilizator sunt listate de Get-VpnConnection; adăugarea -AllUserConnection le listează pe cele pentru toată mașina. Același nume poate exista în ambele liste, iar cele două înregistrări sunt obiecte separate.

Remove-VpnConnection -Name "Old Office" -Force șterge înregistrarea per utilizator corespunzătoare. Aceeași comandă cu -AllUserConnection șterge înregistrarea pentru toată mașina și are nevoie de un shell ridicat. În ambele cazuri, cmdletul atinge doar acea înregistrare: nicio dezinstalare, nicio curățare de certificate, niciun mesaj către server. Referința Remove-VpnConnection listează parametrii, iar ambele cmdleturi acceptă -WhatIf.

Întrebarea dinaintea oricărei execuții nu este deci cum se șterge un profil VPN. Ci care dintre cele două înregistrări este în fața dumneavoastră. O previzualizare răspunde într-o singură linie:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Dacă previzualizarea raportează că nimic nu corespunde, sunteți în domeniul greșit și cealaltă comandă va găsi intrarea. Dacă numește ținta, o aveți pe cea corectă.

De ce intrarea revine după ce o ștergeți

Un profil care reapare în câteva minute nu a fost niciodată al dumneavoastră de șters. Pe un laptop administrat, conexiunea vine de obicei dintr-o implementare: o configurație VPN din Intune sau din politica de grup, un pachet CMAK trimis de echipa de rețea sau un script de conectare. Ștergeți înregistrarea și următoarea reîmprospătare a politicii o rescrie.

Semnalul este momentul. Un profil administrat revine la un ciclu de reîmprospătare, nu la următoarea repornire, și revine cu aceeași adresă de server și aceeași metodă de autentificare pe care tocmai ați eliminat-o. Un profil adăugat manual rămâne plecat.

Rezolvați la sursă: faceți să se elimine atribuirea de pe dispozitiv sau de la utilizator, apoi ștergeți înregistrarea locală. Dacă nu puteți, tratați intrarea ca pe un obiect administrat și lăsați-o în pace, în loc să programați o ștergere care pierde mereu.

Dezinstalarea clientului este altă treabă

Clienții terți au propriile depozite. Cisco Secure Client, GlobalProtect, OpenVPN GUI și serviciul de tunel WireGuard păstrează fiecare datele de conexiune în afara cărții de telefoane Windows. Eliminarea intrării native lasă totul neatins, iar dezinstalarea aplicației poate lăsa intrarea nativă în urmă, pentru că profilul a fost importat separat.

Importurile sunt capcana obișnuită. Dacă ați adăugat conexiunea dintr-un .pbk, un .cmpbk sau un fișier de configurare descărcat, ștergerea acelui fișier nu șterge înregistrarea creată, iar deschiderea fișierului din nou o recreează. Eliminați mai întâi intrarea, ștergeți fișierul după aceea, apoi conectați-vă și deconectați-vă o dată pentru a confirma că nu a revenit nimic.

Eliminarea nu este revocare

Dacă ștergeți profilul pentru că s-a pierdut un laptop, o mașină este partajată sau un fișier de configurare a scăpat, eliminarea locală este aproape doar cosmetică. Gateway-ul are încredere în continuare în certificat sau în cheia pre-partajată până când operatorul o revocă. Ștergerea înregistrării oprește această mașină să înceapă o conexiune nouă; nu oprește o copie a acreditării să se conecteze în altă parte.

Faceți revocarea pe partea care acordă accesul: scoateți certificatul din lista de încredere, dezactivați contul, rotați cheia. Apoi curățați profilul local. Inversați ordinea și rămâneți cu o mașină fără profil și o acreditare care încă funcționează.

O verificare în patru pași înainte de a o declara gata

Întreaga secvență durează cam un minut și prinde aproape orice eliminare în domeniul greșit:

  1. Listați ambele domenii și notați numele exact și adresa serverului.
  2. Rulați eliminarea cu -WhatIf pe domeniul care s-a potrivit.
  3. Rulați-o din nou fără -WhatIf, cu privilegii ridicate dacă intrarea este pentru toți utilizatorii.
  4. Listați din nou ambele domenii, redeschideți Setările și confirmați că celelalte conexiuni funcționează în continuare.

Dacă pasul 4 arată încă intrarea, eliminarea a vizat în tăcere celălalt domeniu. Dacă intrarea revine după un timp, aveți în față o implementare. Dacă Setările o arată încă în timp ce ambele liste ale cmdletului sunt goale, închideți și redeschideți pagina, care își ține lista în cache mai mult decât păstrează cartea de telefoane înregistrarea.

Apoi: decideți dacă intrarea a fost o rămășiță locală sau un obiect administrat. O rămășiță se poate șterge o dată în siguranță și uita. Un obiect administrat are nevoie mai întâi de o atribuire schimbată, altfel eliminarea dumneavoastră este doar o cursă pe care o pierdeți. Și dacă adevăratul scop era să tăiați accesul, schimbarea la gateway contează mult mai mult decât orice faceți la profil.

Articole similare