Удаление сохранённых учётных данных VPN с общего компьютера

Вы удаляете запись VPN, список профилей выглядит чистым, а учётные данные всё ещё на месте. Записи подключений, сохранённые пароли, сертификаты и закрытые ключи живут в разных хранилищах, и общий компьютер — неподходящее место, чтобы считать, что Disconnect или Uninstall закончили работу. Инструкция ниже идёт от собственных элементов управления клиента наружу, к системному хранилищу, а затем к стороне сервера, потому что локальное удаление и удалённый отзыв — разные действия с разными доказательствами.

Делайте это в таком порядке: если сначала убрать доступ локально, остальные шаги можно выполнить без учётных данных, которые вы пытались стереть.

Начните с компонента, которому принадлежит запись

Используйте поддерживаемые приложением элементы управления для удаления сохранённых учётных данных или профилей, а не угаданное имя файла. Собственный профиль операционной системы обычно живёт в системном хранилище, тогда как сторонний клиент часто держит свой каталог конфигурации, и только собственный путь удаления клиента знает, какой из них использовался. Эта опись также говорит, какие копии существуют, а не какие вы помните созданными, и эти два списка редко совпадают.

Прежде чем что-то удалять, определите, на что ссылается запись. Профиль может указывать на отдельный файл пароля, экспортированный сертификат или встроенный закрытый ключ, и удаление подключения не обязательно удаляет что-либо из этого.

Запишите, что вы нашли и где. Именно эта опись делает следующий шаг безопасным, потому что говорит, какие копии существуют, а не какие вы помните созданными.

Проверьте файлы, на которые ссылается профиль

Просмотрите каталог конфигурации клиента, папку загрузок и любое место экспорта, которым вы уполномочены управлять. Старые установщики и пакеты поддержки — обычные места для ключа, который никто не помнит скопированным, и именно это позже находит аудит. Проверьте и дату изменения, потому что ключ, скопированный во время сеанса поддержки, легче датировать, чем объяснить.

Не удаляйте материал удостоверения другого пользователя на общем компьютере и не трогайте профиль управляемой организации, если это решение не ваше. Удаление чужого сертификата может обернуться простоем с вашим именем, и это не то, что означало «очистить VPN с этого ПК».

В macOS у Keychain Access есть собственные документированные элементы управления, и элемент может находиться под именем, выбранным клиентом, а не под именем профиля. На других платформах следуйте настоящим инструкциям клиента и системы, вместо того чтобы применять один общий рецепт имени файла из поста на форуме.

Решите, нужен ли серверу тоже отзыв

Удаление локальной копии не отключает удалённую учётную запись и не отзывает авторизацию открытого ключа. Если устройство больше не заслуживает доверия или секрет мог быть скопирован, используйте процедуру оператора для пароля, сертификата или удаления узла. Это шаг, который пропускают, и единственный, который меняет то, что принимает дальняя сторона.

Отдельные удостоверения для каждого устройства делают это практичным: можно вывести из эксплуатации одну установку на общем компьютере, не мешая всем остальным устройствам этого пользователя. Только смена пароля может не отозвать отдельный клиентский сертификат или каждый сеансовый токен, поэтому проверьте, какие учётные данные действительно аутентифицируют подключение.

Спросите оператора, что из этого применимо, прежде чем выбирать элемент управления. Смена пароля для туннеля с аутентификацией по сертификату кажется полезной и ничего не меняет. Просите артефакт, доказывающий удаление, а не устное подтверждение, потому что артефакт — это то, что примет аудитор. Затем положите его рядом с тикетом.

Проверьте обе половины

Проверьте локальную сторону, снова открыв клиент и убедившись, что профиля нет, затем ещё раз просмотрите указанные файлы: оставшийся на диске ключ — это находка, а не косметический вопрос. Проверьте сторону сервера, убедившись, что удаление вступило в силу, используя то, что предоставляет оператор: список узлов, запись отзыва сертификата или таблицу сеансов. Проверку сервера делайте с другой машины, потому что важно, что принимает дальняя сторона, а не то, что думает этот компьютер.

Зафиксируйте действие без секрета. Достаточно заметки поддержки, где сказано, какой профиль удалён, кем и когда; вставка учётных данных в заметку воссоздаёт проблему в другой системе.

Руководство Apple по Keychain Access — это ориентир для этого хранилища в macOS, и его стоит прочитать перед удалением элемента, который вы не создавали.

Оставьте устройство в состоянии, которое можете объяснить

Завершите коротким утверждением о том, что исчезло, а что нет: профиль клиента удалён, запись в хранилище учётных данных удалена, файл ключа стёрт, удостоверение на стороне сервера отозвано. Если какая-то строка говорит «вероятно», это не закончено. Укажите также, кто выполнил удаление на стороне сервера, потому что общие машины переходят из рук в руки без записи об изменении. Храните утверждение вместе с записью устройства, а не в личной заметке.

На общем компьютере это утверждение и есть передача. Следующему человеку нужно знать, машина чистая или всего лишь разлогинена.