การลบโปรไฟล์ VPN ของ Windows ไม่ได้เพิกถอนการเข้าถึง

คุณลบการเชื่อมต่อจาก Settings ของ Windows เปิดรายการอีกครั้ง แล้วมันก็กลับมา หรือมันหายไปจาก Settings แต่ยังตอบสนอง PowerShell หรือคุณถอนการติดตั้งไคลเอนต์ VPN แล้วรายการก็ไม่เคยหายไป ทั้งสามกรณีมาจากสมมติฐานผิดหนึ่งข้อ: ว่าโปรไฟล์ VPN ของ Windows เป็นส่วนหนึ่งของซอฟต์แวร์ VPN

ไม่ใช่ โปรไฟล์คือระเบียนการเชื่อมต่อในไฟล์สมุดโทรศัพท์ การลบมันจะลบระเบียนนั้นในขอบเขตหนึ่ง จากที่เก็บหนึ่ง ไคลเอนต์ ใบรับรองของมัน และความไว้วางใจของเกตเวย์ต่อข้อมูลรับรองของคุณยังคงอยู่ที่เดิมทุกประการ

Remove-VpnConnection ลบอะไรจริง ๆ

โปรไฟล์ดั้งเดิมอยู่ใน rasphone.pbk: สมุดโทรศัพท์หนึ่งเล่มใต้โปรไฟล์ผู้ใช้แต่ละราย และหนึ่งเล่มระดับเครื่องใต้ ProgramData Get-VpnConnection แสดงรายการระดับผู้ใช้ การเพิ่ม -AllUserConnection จะแสดงรายการระดับเครื่อง ชื่อเดียวกันสามารถมีอยู่ได้ทั้งสองรายการ และระเบียนทั้งสองเป็นอ็อบเจกต์แยกกัน

Remove-VpnConnection -Name "Old Office" -Force ลบระเบียนของผู้ใช้ที่ตรงกัน คำสั่งเดิมที่มี -AllUserConnection ลบระเบียนระดับเครื่องและต้องใช้เชลล์ที่ยกระดับ ไม่ว่าอย่างไร cmdlet จะแตะต้องเฉพาะระเบียนนั้น: ไม่มีการถอนการติดตั้ง ไม่มีการล้างใบรับรอง ไม่มีข้อความถึงเซิร์ฟเวอร์ Remove-VpnConnection เอกสารอ้างอิงแสดงรายการพารามิเตอร์ และ cmdlet ทั้งสองรองรับ -WhatIf

ดังนั้นคำถามก่อนที่คุณจะเรียกใช้สิ่งใดไม่ใช่ว่าจะลบโปรไฟล์ VPN อย่างไร แต่คือคุณกำลังดูระเบียนใดในสองระเบียนนี้ การแสดงตัวอย่างตอบได้ในบรรทัดเดียว:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

หากการแสดงตัวอย่างรายงานว่าไม่มีอะไรตรงกัน คุณอยู่ในขอบเขตผิดและคำสั่งอื่นจะพบรายการนั้น หากมันระบุเป้าหมาย คุณมีระเบียนที่ถูกต้อง

ทำไมรายการจึงกลับมาหลังจากที่คุณลบมัน

โปรไฟล์ที่ปรากฏขึ้นใหม่ภายในไม่กี่นาทีไม่เคยเป็นของคุณให้ลบ บนแล็ปท็อปที่ได้รับการจัดการ การเชื่อมต่อมักมาจากการปรับใช้: การกำหนดค่า VPN ผ่าน Intune หรือ Group Policy แพ็กเกจ CMAK ที่ทีมเครือข่ายผลักไป หรือสคริปต์ล็อกออน ลบระเบียนแล้วการรีเฟรชนโยบายครั้งถัดไปจะเขียนมันกลับมา

สัญญาณคือเวลา โปรไฟล์ที่ได้รับการจัดการจะกลับมาในรอบการรีเฟรช ไม่ใช่ในการรีบูตครั้งถัดไป และกลับมาพร้อมที่อยู่เซิร์ฟเวอร์และวิธีรับรองความถูกต้องเดียวกับที่คุณเพิ่งลบ โปรไฟล์ที่คุณเพิ่มด้วยตัวเองจะหายไป

แก้ที่ต้นทาง: ให้การกำหนดถูกถอดออกจากอุปกรณ์หรือผู้ใช้ แล้วลบระเบียนภายในเครื่อง หากทำไม่ได้ ให้ถือว่ารายการนั้นเป็นอ็อบเจกต์ที่ได้รับการจัดการและปล่อยไว้ แทนที่จะกำหนดเวลาการลบที่แพ้ทุกครั้ง

การถอนการติดตั้งไคลเอนต์เป็นงานอีกอย่าง

ไคลเอนต์ของบุคคลที่สามมีที่เก็บของตัวเอง Cisco Secure Client, GlobalProtect, OpenVPN GUI และบริการอุโมงค์ WireGuard ต่างเก็บข้อมูลการเชื่อมต่อไว้นอกสมุดโทรศัพท์ของ Windows การลบรายการดั้งเดิมจะปล่อยทั้งหมดนั้นไว้ไม่ถูกแตะ และการถอนการติดตั้งแอปอาจทิ้งรายการดั้งเดิมไว้เพราะโปรไฟล์ถูกนำเข้าแยกต่างหาก

การนำเข้าคือกับดักปกติ หากคุณเพิ่มการเชื่อมต่อจาก .pbk, .cmpbk หรือไฟล์กำหนดค่าที่ดาวน์โหลด การลบไฟล์นั้นไม่ได้ลบระเบียนที่มันสร้าง และการเปิดไฟล์อีกครั้งจะสร้างมันขึ้นมาใหม่ ลบรายการก่อน ลบไฟล์เป็นลำดับที่สอง จากนั้นเชื่อมต่อและตัดการเชื่อมต่อหนึ่งครั้งเพื่อยืนยันว่าไม่มีอะไรกลับมา

การลบไม่ใช่การเพิกถอน

หากคุณลบโปรไฟล์เพราะแล็ปท็อปหาย เครื่องถูกใช้ร่วมกัน หรือไฟล์กำหนดค่ารั่วไหล การลบภายในเครื่องแทบจะเป็นเพียงภาพลักษณ์ เกตเวย์ยังคงไว้วางใจใบรับรองหรือคีย์ที่แชร์ล่วงหน้าจนกว่าผู้ดูแลจะเพิกถอน การลบระเบียนหยุดเครื่องนี้ไม่ให้เริ่มการเชื่อมต่อใหม่ แต่ไม่ได้หยุดสำเนาของข้อมูลรับรองจากการเชื่อมต่อที่อื่น

ทำการเพิกถอนทางฝั่งที่ให้การเข้าถึง: ดึงใบรับรองออกจากรายการที่เชื่อถือได้ ปิดใช้งานบัญชี หมุนคีย์ จากนั้นทำความสะอาดโปรไฟล์ภายในเครื่อง สลับลำดับแล้วคุณจะเหลือเครื่องที่ไม่มีโปรไฟล์และข้อมูลรับรองที่ยังใช้งานได้

การตรวจสอบสี่ขั้นก่อนจะบอกว่าเสร็จ

ลำดับทั้งหมดใช้เวลาประมาณหนึ่งนาทีและจับการลบผิดขอบเขตได้เกือบทุกครั้ง:

1. แสดงรายการทั้งสองขอบเขตและจดชื่อกับที่อยู่เซิร์ฟเวอร์ให้แน่ชัด
2. เรียกใช้การลบด้วย -WhatIf กับขอบเขตที่ตรงกัน
3. เรียกใช้อีกครั้งโดยไม่มี -WhatIf แบบยกระดับหากรายการเป็นของผู้ใช้ทั้งหมด
4. แสดงรายการทั้งสองขอบเขตอีกครั้ง เปิด Settings อีกครั้ง และยืนยันว่าการเชื่อมต่ออื่นของคุณยังทำงานอยู่

หากขั้นที่ 4 ยังแสดงรายการอยู่ การลบได้กำหนดเป้าหมายไปที่อีกขอบเขตอย่างเงียบ ๆ หากรายการกลับมาภายหลัง แสดงว่าคุณกำลังดูการปรับใช้อยู่ หาก Settings ยังแสดงรายการนั้นในขณะที่รายการ cmdlet ทั้งสองว่างเปล่า ให้ปิดและเปิดหน้าใหม่ ซึ่งแคชรายการไว้นานกว่าที่สมุดโทรศัพท์เก็บระเบียน

ต่อไป: ตัดสินว่ารายการนั้นเป็นเศษที่เหลือในเครื่องหรืออ็อบเจกต์ที่ได้รับการจัดการ เศษที่เหลือลบครั้งเดียวแล้วลืมได้อย่างปลอดภัย อ็อบเจกต์ที่ได้รับการจัดการต้องเปลี่ยนการกำหนดก่อน ไม่อย่างนั้นการลบของคุณก็เป็นเพียงการแข่งขันที่คุณจะแพ้ และหากเป้าหมายจริงคือการตัดการเข้าถึง การเปลี่ยนที่เกตเวย์สำคัญกว่าสิ่งใดที่คุณทำกับโปรไฟล์มาก