Odstránenie profilu VPN v Windows neodvolá prístup

Vymazanie profilu VPN v Windows vyčistí jeden záznam v telefónnom zozname, nie dôveru klienta ani servera. Odstráňte správny rozsah a potom overte, že zostal preč.

Vymažete pripojenie v Nastaveniach Windows, znova otvoríte zoznam a je späť. Alebo z Nastavení zmizlo, ale stále odpovedá v PowerShelli. Alebo ste odinštalovali klienta VPN a položka nikdy nezmizla. Všetky tri prípady pramenia z jedného chybného predpokladu: že profil VPN v Windows je súčasťou softvéru VPN.

Nie je. Profil je záznam pripojenia v súbore telefónneho zoznamu. Jeho odstránenie vymaže tento záznam v jednom rozsahu z jedného úložiska. Klient, jeho certifikáty a dôvera brány vo váš údaj zostanú presne tam, kde boli.

Čo Remove-VpnConnection skutočne maže

Natívne profily žijú v rasphone.pbk: jeden telefónny zoznam pod každým profilom používateľa, jeden pre celý stroj v ProgramData. Záznamy pre používateľa vypisuje Get-VpnConnection; pridanie -AllUserConnection vypíše tie pre celý stroj. Rovnaký názov môže byť v oboch zoznamoch a oba záznamy sú samostatné objekty.

Remove-VpnConnection -Name "Old Office" -Force vymaže zodpovedajúci záznam používateľa. Rovnaký príkaz s -AllUserConnection vymaže záznam pre celý stroj a vyžaduje zvýšené prostredie. Tak či tak sa rutina dotkne len toho záznamu: žiadna odinštalácia, žiadne čistenie certifikátov, žiadna správa serveru. Referenčná stránka Remove-VpnConnection uvádza parametre a obe rutiny podporujú -WhatIf.

Otázka pred spustením čohokoľvek teda nie je, ako profil VPN vymazať. Je to, na ktorý z dvoch záznamov sa pozeráte. Náhľad to zodpovie jedným riadkom:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Ak náhľad hlási, že nič nezodpovedá, ste v nesprávnom rozsahu a druhý príkaz položku nájde. Ak cieľ pomenuje, máte ten správny.

Prečo sa položka po vymazaní vracia

Profil, ktorý sa v priebehu minút znova objaví, nikdy nebol váš na vymazanie. Na spravovanom notebooku pripojenie zvyčajne prichádza z nasadenia: konfigurácia VPN z Intune alebo zo skupinových pravidiel, balík CMAK odoslaný sieťovým tímom alebo prihlasovací skript. Vymažte záznam a nasledujúce obnovenie pravidiel ho zapíše späť.

Znakom je časovanie. Spravovaný profil sa vracia v cykle obnovenia, nie pri nasledujúcom reštarte, a vracia sa s rovnakou adresou servera a rovnakou metódou overovania, ktorú ste práve odstránili. Profil pridaný ručne zostane preč.

Riešte to pri zdroji: nechajte odstrániť priradenie zo zariadenia alebo používateľa a potom vymažte miestny záznam. Ak to nejde, berte položku ako spravovaný objekt a nechajte ju tak, namiesto plánovania mazania, ktoré stále prehráva.

Odinštalácia klienta je iná práca

Klienti tretích strán majú vlastné úložiská. Cisco Secure Client, GlobalProtect, OpenVPN GUI a tunelová služba WireGuard držia údaje o pripojení mimo telefónneho zoznamu Windows. Odstránenie natívnej položky nechá to všetko nedotknuté a odinštalácia aplikácie môže natívnu položku zanechať, pretože profil bol importovaný zvlášť.

Importy sú obvyklá pasca. Ak ste pripojenie pridali zo súboru .pbk, .cmpbk alebo stiahnutého konfiguračného súboru, vymazanie toho súboru nevymaže vytvorený záznam a nové otvorenie súboru ho znova vytvorí. Najprv odstráňte položku, potom vymažte súbor a nakoniec sa raz pripojte a odpojte, aby ste potvrdili, že sa nič nevrátilo.

Odstránenie nie je odvolanie

Ak profil mažete preto, že sa stratil notebook, stroj je zdieľaný alebo unikol konfiguračný súbor, je miestne odstránenie takmer len kozmetické. Brána stále dôveruje certifikátu alebo predbežnému kľúču, kým ho operátor neodvolá. Vymazanie záznamu zabráni tomuto stroju začať nové pripojenie; nezabráni kópii údaja pripojiť sa inde.

Odvolajte na strane, ktorá prístup udeľuje: vyberte certifikát zo zoznamu dôveryhodných, zakažte účet, vymeňte kľúč. Potom vyčistite miestny profil. Obráťte poradie a zostane vám stroj bez profilu a údaj, ktorý stále funguje.

Kontrola v štyroch krokoch, kým to vyhlásite za hotové

Celá sekvencia trvá asi minútu a zachytí takmer každé odstránenie v nesprávnom rozsahu:

  1. Vypíšte oba rozsahy a zapíšte presný názov a adresu servera.
  2. Spustite odstránenie s -WhatIf proti rozsahu, ktorý zodpovedal.
  3. Spustite ho znova bez -WhatIf, so zvýšenými právami, ak je položka pre všetkých používateľov.
  4. Vypíšte oba rozsahy znova, otvorte Nastavenia a potvrďte, že vaše ďalšie pripojenia stále fungujú.

Ak krok 4 stále ukazuje položku, odstránenie ticho zasiahlo druhý rozsah. Ak sa položka po chvíli vráti, pozeráte sa na nasadenie. Ak ju Nastavenia stále ukazujú, kým sú oba zoznamy rutiny prázdne, zavrite a znova otvorte stránku; drží svoj zoznam v medzipamäti dlhšie, než telefónny zoznam záznam uchováva.

Ďalej: rozhodnite, či bola položka miestny pozostatok, alebo spravovaný objekt. Pozostatok je bezpečné raz vymazať a zabudnúť. Spravovaný objekt vyžaduje najprv zmenu priradenia, inak je vaše odstránenie len pretek, ktorý prehráte. A ak bolo skutočným cieľom odrezať prístup, zmena na bráne znamená oveľa viac než čokoľvek, čo urobíte s profilom.

Súvisiace články