Видалення профілю VPN у Windows не відкликає доступ

Ви видаляєте підключення в Параметрах Windows, знову відкриваєте список — і воно на місці. Або воно зникло з Параметрів, але досі відповідає в PowerShell. Або ви видалили клієнт VPN, а запис так і не зник. Усі три випадки походять з одного хибного припущення: що профіль VPN у Windows — частина програмного забезпечення VPN.

Це не так. Профіль — це запис підключення у файлі телефонної книги. Його видалення стирає цей запис, в одній області, з одного сховища. Клієнт, його сертифікати й довіра шлюзу до ваших облікових даних залишаються точно там, де були.

Що насправді видаляє Remove-VpnConnection

Вбудовані профілі живуть у rasphone.pbk: одна телефонна книга в кожному профілі користувача, одна спільна для машини в ProgramData. Записи поточного користувача перелічує Get-VpnConnection; додавання -AllUserConnection перелічує записи всієї машини. Те саме ім'я може бути в обох списках, і це два різні об'єкти.

Remove-VpnConnection -Name "Old Office" -Force видаляє відповідний запис користувача. Та сама команда з -AllUserConnection видаляє запис усієї машини і потребує підвищеної оболонки. У будь-якому разі командлет торкається лише цього запису: без видалення програми, без очищення сертифікатів, без повідомлення серверу. Довідка Remove-VpnConnection перелічує параметри, і обидва командлети підтримують -WhatIf.

Тож питання перед запуском — не як видалити профіль VPN. А який із двох записів ви бачите. Попередній перегляд відповідає на це одним рядком:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Якщо попередній перегляд повідомляє, що нічого не збігається, ви в неправильній області, і інша команда знайде запис. Якщо він називає ціль, область правильна.

Чому запис повертається після видалення

Профіль, який з'являється знову за кілька хвилин, ніколи не був вашим для видалення. На керованому ноутбуці підключення зазвичай надходить із розгортання: конфігурація VPN з Intune або групової політики, пакет CMAK, надісланий мережевою командою, або сценарій входу. Видаліть запис — і наступне оновлення політики запише його назад.

Ознака — час. Керований профіль повертається на циклі оновлення, а не під час наступного завантаження, і повертається з тією ж адресою сервера і тим самим методом автентифікації, які ви щойно прибрали. Профіль, доданий вручну, залишається видаленим.

Вирішуйте це біля джерела: доможіться зняття призначення з пристрою або користувача, а потім видаліть локальний запис. Якщо не можете, ставтеся до запису як до керованого об'єкта і залиште його в спокої, замість планувати видалення, яке весь час програє.

Видалення клієнта — інше завдання

Сторонні клієнти тримають власні сховища. Cisco Secure Client, GlobalProtect, OpenVPN GUI і тунельна служба WireGuard зберігають дані про підключення поза телефонною книгою Windows. Видалення вбудованого запису не торкається всього цього, а видалення програми може залишити вбудований запис, бо профіль було імпортовано окремо.

Імпорт — звичайна пастка. Якщо ви додали підключення з .pbk, .cmpbk або завантаженого файлу конфігурації, видалення цього файлу не видаляє створений запис, а повторне відкриття файлу створює його заново. Спершу видаліть запис, потім файл, а далі один раз підключіться й відключіться, щоб переконатися, що нічого не повернулося.

Видалення — не відкликання

Якщо ви видаляєте профіль тому, що ноутбук загублено, машина спільна або файл конфігурації витік, локальне видалення — майже косметика. Шлюз досі довіряє сертифікату або заздалегідь розділеному ключу, поки оператор його не відкличе. Видалення запису не дає цій машині почати нове підключення; воно не заважає копії облікових даних підключитися в іншому місці.

Відкликайте на тому боці, який надає доступ: приберіть сертифікат зі списку довірених, вимкніть обліковий запис, змініть ключ. Потім очистіть локальний профіль. Поміняйте порядок — і залишитеся з машиною без профілю й обліковими даними, які ще працюють.

Перевірка в чотири кроки, перш ніж вважати справу закритою

Уся послідовність займає близько хвилини і ловить майже кожне видалення в неправильній області:

1. Перелічіть обидві області й запишіть точне ім'я та адресу сервера.
2. Запустіть видалення з -WhatIf для тієї області, що збіглася.
3. Запустіть його знову без -WhatIf, з підвищенням, якщо запис стосується всіх користувачів.
4. Знову перелічіть обидві області, відкрийте Параметри й підтвердьте, що інші підключення працюють.

Якщо крок 4 досі показує запис, видалення тихо зачепило іншу область. Якщо запис повертається за якийсь час, перед вами розгортання. Якщо Параметри досі його показують, а обидва списки командлета порожні, закрийте і знову відкрийте сторінку: вона тримає свій список у кеші довше, ніж телефонна книга зберігає запис.

Далі: вирішіть, чи був запис локальним залишком, чи керованим об'єктом. Залишок безпечно видалити один раз і забути. Керований об'єкт вимагає спершу змінити призначення, інакше ваше видалення — просто гонка, яку ви програєте. А якщо справжня мета — відрізати доступ, зміна на шлюзі важить значно більше за все, що ви робите з профілем.