Odstranitev profila VPN v Windowsu ne prekliče dostopa

Brisanje profila VPN v Windowsu počisti en vnos v telefonskem imeniku, ne pa zaupanja odjemalca ali strežnika. Odstranite pravi obseg in preverite, da ni prišel nazaj.

Povezavo izbrišete v nastavitvah Windows, znova odprete seznam in ta je spet tam. Ali pa je iz nastavitev izginila, a se še vedno odziva v PowerShellu. Ali pa ste odjemalca VPN odstranili in vnos ni nikoli izginil. Vsi trije primeri izhajajo iz ene napačne predpostavke: da je profil VPN v Windowsu del programske opreme VPN.

Ni. Profil je zapis povezave v datoteki telefonskega imenika. Z odstranitvijo izbrišete ta zapis, v enem obsegu, iz enega skladišča. Odjemalec, njegova potrdila in zaupanje prehoda v vaše poverilnice ostanejo točno tam, kjer so bili.

Kaj Remove-VpnConnection v resnici izbriše

Izvorni profili živijo v rasphone.pbk: en telefonski imenik v vsakem uporabniškem profilu, eden za ves računalnik v ProgramData. Vnose za posameznega uporabnika izpiše Get-VpnConnection; dodajanje -AllUserConnection izpiše tiste za ves računalnik. Isto ime lahko obstaja na obeh seznamih, in ta dva zapisa sta ločena predmeta.

Remove-VpnConnection -Name "Old Office" -Force izbriše ustrezni zapis za uporabnika. Isti ukaz z -AllUserConnection izbriše zapis za ves računalnik in zahteva povišano lupino. V obeh primerih se ukaz dotakne le tega zapisa: brez odstranitve namestitve, brez čiščenja potrdil, brez sporočila strežniku. Referenca Remove-VpnConnection navaja parametre, oba ukaza pa podpirata -WhatIf.

Vprašanje pred izvajanjem česar koli torej ni, kako izbrisati profil VPN. Temveč kateri od dveh zapisov je pred vami. Predogled odgovori v eni vrstici:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Če predogled sporoči, da se nič ne ujema, ste v napačnem obsegu in drugi ukaz bo našel vnos. Če poimenuje cilj, imate pravega.

Zakaj se vnos po brisanju vrne

Profil, ki se znova pojavi v nekaj minutah, nikoli ni bil vaš za brisanje. Na upravljanem prenosniku povezava običajno pride iz uvajanja: konfiguracija VPN iz Intunea ali skupinskih pravilnikov, paket CMAK, ki ga je poslala mrežna ekipa, ali prijavna skripta. Izbrišite zapis in naslednje osveževanje pravilnikov ga zapiše nazaj.

Znak je čas. Upravljani profil se vrne v ciklu osveževanja, ne ob naslednjem zagonu, in vrne se z istim naslovom strežnika in isto metodo preverjanja pristnosti, ki ste jo pravkar odstranili. Profil, ki ste ga dodali ročno, ostane odstranjen.

Rešite to pri viru: poskrbite, da dodelitev odstranijo z naprave ali uporabnika, nato izbrišite lokalni zapis. Če ne gre, obravnavajte vnos kot upravljani predmet in ga pustite pri miru, namesto da načrtujete brisanje, ki vedno izgubi.

Odstranitev odjemalca je drugo delo

Odjemalci tretjih strani imajo lastna skladišča. Cisco Secure Client, GlobalProtect, OpenVPN GUI in tunelska storitev WireGuard vsak hranijo podatke o povezavah zunaj telefonskega imenika Windows. Odstranitev izvornega vnosa vse to pusti nedotaknjeno, odstranitev aplikacije pa lahko izvorni vnos pusti zadaj, ker je bil profil uvožen ločeno.

Uvozi so običajna past. Če ste povezavo dodali iz .pbk, .cmpbk ali prenesene konfiguracijske datoteke, brisanje te datoteke ne izbriše ustvarjenega zapisa, odpiranje datoteke znova pa ga znova ustvari. Najprej odstranite vnos, nato izbrišite datoteko in se nato enkrat povežite in prekinite, da potrdite, da se ni nič vrnilo.

Odstranitev ni preklic

Če profil brišete, ker se je prenosnik izgubil, je računalnik v skupni rabi ali je konfiguracijska datoteka uhajala, je lokalna odstranitev skoraj samo kozmetična. Prehod še vedno zaupa potrdilu ali vnaprej skupnemu ključu, dokler ga operater ne prekliče. Brisanje zapisa prepreči temu računalniku, da začne novo povezavo; ne prepreči kopiji poverilnic, da se poveže drugje.

Preklic opravite na strani, ki daje dostop: vzemite potrdilo s seznama zaupanja vrednih, onemogočite račun, zamenjajte ključ. Nato počistite lokalni profil. Če vrstni red obrnete, vam ostane računalnik brez profila in poverilnice, ki še vedno delujejo.

Preverjanje v štirih korakih, preden to razglasite za končano

Celotno zaporedje traja približno minuto in ujame skoraj vsako odstranitev v napačnem obsegu:

  1. Izpišite oba obsega in zapišite točno ime in naslov strežnika.
  2. Zaženite odstranitev z -WhatIf na obsegu, ki se je ujemal.
  3. Zaženite jo znova brez -WhatIf, povišano, če je vnos za vse uporabnike.
  4. Znova izpišite oba obsega, odprite nastavitve in potrdite, da vaše druge povezave še delujejo.

Če 4. korak še vedno kaže vnos, je odstranitev tiho zadela drugi obseg. Če se vnos po času vrne, gledate uvajanje. Če ga nastavitve še vedno kažejo, medtem ko sta oba seznama ukaza prazna, zaprite in znova odprite stran, ki svoj seznam hrani v predpomnilniku dlje, kot telefonski imenik ohrani zapis.

Nato: odločite, ali je bil vnos lokalni ostanek ali upravljani predmet. Ostanek je varno enkrat izbrisati in pozabiti. Upravljani predmet zahteva najprej spremembo dodelitve, sicer je vaša odstranitev le tekma, ki jo boste izgubili. In če je bil pravi cilj odrezati dostop, sprememba na prehodu šteje veliko več kot karkoli, kar storite s profilom.

Sorodni članki