Att ta bort en Windows-VPN-profil återkallar inte åtkomst

Att radera en Windows-VPN-profil rensar en telefonbokspost, inte klientens eller serverns förtroende. Ta bort rätt omfattning och kontrollera sedan att den stannar borta.

Du tar bort anslutningen i Windows Inställningar, öppnar listan igen, och den är tillbaka. Eller så är den borta från Inställningar men svarar fortfarande på PowerShell. Eller så avinstallerade du VPN-klienten och posten försvann aldrig. Alla tre kommer från ett felaktigt antagande: att en Windows-VPN-profil är en del av VPN-programvaran.

Det är den inte. En profil är en anslutningspost i en telefonboksfil. Att ta bort den raderar posten, i en omfattning, från ett arkiv. Klienten, dess certifikat och gatewayens förtroende för din autentiseringsuppgift ligger kvar precis där de var.

Vad Remove-VpnConnection faktiskt raderar

Inbyggda profiler ligger i rasphone.pbk: en telefonbok under varje användarprofil, en maskinvid under ProgramData. Get-VpnConnection visar posterna per användare; att lägga till -AllUserConnection visar dem för hela maskinen. Samma namn kan finnas i båda listorna, och de två posterna är separata objekt.

Remove-VpnConnection -Name "Old Office" -Force raderar den matchande posten per användare. Samma kommando med -AllUserConnection raderar den maskinvida posten och kräver ett upphöjt skal. Hur som helst rör cmdleten bara den posten: ingen avinstallation, ingen certifikatstädning, inget meddelande till servern. Referensen för Remove-VpnConnection listar parametrarna, och båda cmdletarna stöder -WhatIf.

Frågan innan du kör något är alltså inte hur man tar bort en VPN-profil. Det är vilken av de två posterna du tittar på. En förhandsvisning svarar på det i en rad:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Säger förhandsvisningen att inget matchar är du i fel omfattning och det andra kommandot hittar posten. Namnger den målet har du rätt.

Varför posten kommer tillbaka efter att du tagit bort den

En profil som dyker upp igen inom några minuter var aldrig din att ta bort. På en hanterad bärbar dator kommer anslutningen oftast från en distribution: en VPN-konfiguration från Intune eller grupprincip, ett CMAK-paket som nätverksteamet skickat ut, eller ett inloggningsskript. Ta bort posten och nästa principuppdatering skriver tillbaka den.

Tecknet är tajmingen. En hanterad profil kommer tillbaka vid en uppdateringscykel, inte vid nästa omstart, och den kommer tillbaka med samma serveradress och samma autentiseringsmetod som du just tog bort. En profil du lade till för hand stannar borta.

Åtgärda det vid källan: få bort tilldelningen från enheten eller användaren och radera sedan den lokala posten. Går det inte, behandla posten som ett hanterat objekt och låt den vara i stället för att schemalägga en borttagning som hela tiden förlorar.

Att avinstallera klienten är ett annat jobb

Tredjepartsklienter har egna arkiv. Cisco Secure Client, GlobalProtect, OpenVPN GUI och WireGuard-tunneltjänsten håller var och en sina anslutningsdata utanför Windows telefonbok. Att ta bort den inbyggda posten lämnar allt det orört, och att avinstallera appen kan lämna den inbyggda posten kvar eftersom profilen importerades separat.

Importer är den vanliga fällan. Om du lade till anslutningen från en .pbk, en .cmpbk eller en nedladdad konfigurationsfil, raderar inte borttagningen av filen posten den skapade, och att öppna filen igen återskapar den. Ta bort posten först, radera filen sedan, och anslut och koppla från en gång för att bekräfta att inget kom tillbaka.

Borttagning är inte återkallelse

Om du raderar profilen för att en bärbar dator försvunnit, en maskin delas eller en konfigurationsfil läckt, är lokal borttagning nästan bara kosmetika. Gatewayen litar fortfarande på certifikatet eller den fördelade nyckeln tills operatören återkallar den. Att radera posten hindrar den här maskinen från att starta en ny anslutning; det hindrar inte en kopia av uppgiften från att ansluta någon annanstans.

Gör återkallelsen på den sida som beviljar åtkomst: ta bort certifikatet från listan över betrodda, inaktivera kontot, rotera nyckeln. Rensa sedan den lokala profilen. Byter du ordning sitter du med en maskin utan profil och en uppgift som fortfarande fungerar.

En kontroll i fyra steg innan du kallar det klart

Hela sekvensen tar ungefär en minut och fångar nästan varje borttagning i fel omfattning:

  1. Lista båda omfattningarna och skriv ner det exakta namnet och serveradressen.
  2. Kör borttagningen med -WhatIf mot den omfattning som matchade.
  3. Kör den igen utan -WhatIf, upphöjd om posten gäller alla användare.
  4. Lista båda omfattningarna igen, öppna Inställningar på nytt och bekräfta att dina andra anslutningar fortfarande fungerar.

Visar steg 4 fortfarande posten träffade borttagningen tyst den andra omfattningen. Kommer posten tillbaka efter ett tag tittar du på en distribution. Visar Inställningar den fortfarande medan båda cmdlet-listorna är tomma, stäng och öppna sidan igen; den cachar sin lista längre än telefonboken behåller posten.

Sedan: avgör om posten var en lokal rest eller ett hanterat objekt. En rest är säker att radera en gång och glömma. Ett hanterat objekt kräver att tilldelningen ändras först, annars är din borttagning bara en kapplöpning du förlorar. Och om det verkliga målet var att stänga av åtkomsten betyder ändringen i gatewayen mycket mer än allt du gör med profilen.

Relaterade artiklar