Xóa hồ sơ VPN Windows không thu hồi quyền truy cập

Bạn xóa kết nối khỏi Cài đặt Windows, mở lại danh sách, và nó quay lại. Hoặc nó biến mất khỏi Cài đặt nhưng vẫn trả lời PowerShell. Hoặc bạn đã gỡ cài đặt ứng dụng VPN và mục đó không bao giờ biến mất. Cả ba đều đến từ một giả định sai: rằng hồ sơ VPN Windows là một phần của phần mềm VPN.

Không phải vậy. Hồ sơ là một bản ghi kết nối trong tệp sổ điện thoại. Xóa nó sẽ xóa bản ghi đó, trong một phạm vi, khỏi một kho. Ứng dụng khách, các chứng chỉ của nó và sự tin cậy của cổng vào đối với thông tin đăng nhập của bạn vẫn ở nguyên chỗ cũ.

Remove-VpnConnection thực sự xóa những gì

Các hồ sơ gốc nằm trong rasphone.pbk: một sổ điện thoại dưới mỗi hồ sơ người dùng, một sổ ở cấp máy dưới ProgramData. Get-VpnConnection liệt kê các mục theo người dùng; thêm -AllUserConnection liệt kê các mục ở cấp máy. Cùng một tên có thể tồn tại trong cả hai danh sách, và hai bản ghi là hai đối tượng riêng biệt.

Remove-VpnConnection -Name "Old Office" -Force xóa bản ghi theo người dùng khớp. Cùng lệnh đó với -AllUserConnection xóa bản ghi cấp máy và cần một shell được nâng quyền. Dù thế nào, cmdlet chỉ chạm vào bản ghi đó: không gỡ cài đặt, không dọn chứng chỉ, không thông báo tới máy chủ. Remove-VpnConnection tài liệu tham khảo liệt kê các tham số, và cả hai cmdlet đều hỗ trợ -WhatIf.

Vậy câu hỏi trước khi chạy bất cứ thứ gì không phải là xóa hồ sơ VPN như thế nào. Mà là bạn đang nhìn vào bản ghi nào trong hai bản ghi. Bản xem trước trả lời trong một dòng:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Nếu bản xem trước báo không có gì khớp, bạn đang ở sai phạm vi và lệnh kia sẽ tìm thấy mục đó. Nếu nó nêu tên mục tiêu, bạn đã có bản ghi đúng.

Vì sao mục đó quay lại sau khi bạn xóa

Một hồ sơ xuất hiện lại trong vài phút chưa bao giờ là của bạn để xóa. Trên máy tính xách tay được quản lý, kết nối thường đến từ một lần triển khai: cấu hình VPN của Intune hoặc Chính sách nhóm, gói CMAK do nhóm mạng đẩy xuống, hoặc tập lệnh đăng nhập. Xóa bản ghi và lần làm mới chính sách tiếp theo sẽ ghi nó trở lại.

Dấu hiệu là thời điểm. Hồ sơ được quản lý quay lại theo chu kỳ làm mới, không phải lần khởi động lại tiếp theo, và nó quay lại với đúng địa chỉ máy chủ và phương thức xác thực mà bạn vừa gỡ. Hồ sơ bạn tự thêm sẽ biến mất.

Hãy sửa tại nguồn: yêu cầu gỡ việc gán khỏi thiết bị hoặc người dùng, rồi xóa bản ghi cục bộ. Nếu không được, hãy coi mục đó là đối tượng được quản lý và để yên thay vì lên lịch xóa mà lần nào cũng thua.

Gỡ cài đặt ứng dụng khách là việc khác

Các ứng dụng khách bên thứ ba có kho riêng. Cisco Secure Client, GlobalProtect, OpenVPN GUI và dịch vụ đường hầm WireGuard mỗi cái giữ dữ liệu kết nối bên ngoài sổ điện thoại của Windows. Xóa mục gốc để nguyên tất cả những thứ đó, và gỡ cài đặt ứng dụng có thể để lại mục gốc vì hồ sơ được nhập riêng.

Nhập là cái bẫy thường gặp. Nếu bạn thêm kết nối từ .pbk, .cmpbk hoặc tệp cấu hình đã tải xuống, xóa tệp đó không xóa bản ghi mà nó tạo ra, và mở lại tệp sẽ tạo lại nó. Gỡ mục trước, xóa tệp sau, rồi kết nối và ngắt một lần để xác nhận không có gì quay lại.

Xóa không phải là thu hồi

Nếu bạn xóa hồ sơ vì mất máy tính xách tay, máy dùng chung hoặc tệp cấu hình bị lộ, việc xóa cục bộ gần như chỉ mang tính hình thức. Cổng vào vẫn tin chứng chỉ hoặc khóa chia sẻ trước cho đến khi người vận hành thu hồi nó. Xóa bản ghi ngăn máy này bắt đầu kết nối mới; nó không ngăn một bản sao thông tin đăng nhập kết nối ở nơi khác.

Hãy thu hồi ở phía cấp quyền truy cập: rút chứng chỉ khỏi danh sách tin cậy, vô hiệu hóa tài khoản, xoay khóa. Sau đó dọn hồ sơ cục bộ. Đảo ngược thứ tự và bạn sẽ còn lại một máy không có hồ sơ và thông tin đăng nhập vẫn hoạt động.

Bốn bước kiểm tra trước khi coi là xong

Toàn bộ quy trình mất khoảng một phút và bắt được gần như mọi lần xóa sai phạm vi:

1. Liệt kê cả hai phạm vi và ghi lại tên chính xác cùng địa chỉ máy chủ.
2. Chạy lệnh xóa với -WhatIf đối với phạm vi khớp.
3. Chạy lại mà không có -WhatIf, với quyền nâng cao nếu mục đó thuộc mọi người dùng.
4. Liệt kê lại cả hai phạm vi, mở lại Cài đặt và xác nhận các kết nối khác của bạn vẫn hoạt động.

Nếu bước 4 vẫn hiển thị mục đó, lệnh xóa đã âm thầm nhắm vào phạm vi kia. Nếu mục đó quay lại sau một lúc, bạn đang đối mặt với một lần triển khai. Nếu Cài đặt vẫn hiển thị nó trong khi cả hai danh sách cmdlet đều trống, hãy đóng và mở lại trang, vì trang lưu danh sách trong bộ nhớ đệm lâu hơn mức sổ điện thoại giữ bản ghi.

Tiếp theo: quyết định xem mục đó là tàn dư cục bộ hay đối tượng được quản lý. Tàn dư thì an toàn để xóa một lần và quên đi. Đối tượng được quản lý cần đổi việc gán trước, nếu không lần xóa của bạn chỉ là một cuộc đua mà bạn sẽ thua. Và nếu mục đích thực sự là cắt quyền truy cập, thay đổi ở cổng vào quan trọng hơn nhiều so với bất cứ điều gì bạn làm với hồ sơ.