从共享电脑中清除已保存的 VPN 凭据

你删掉了 VPN 条目，配置文件列表看起来干净了，凭据却还在。连接条目、已保存的密码、证书和私钥分别存放在不同的存储里，而共享电脑恰恰不是想当然认为「断开连接」或「卸载」已经完成工作的地方。下面的步骤从客户端自身的控制项向外走到系统存储，再走到服务器端，因为本地清除和远程吊销是两件事，证据也各不相同。

请按这个顺序做：先在本地切断访问，剩下的步骤就可以在不使用你正要抹掉的那份凭据的情况下完成。

从拥有它的组件开始

使用应用支持的已保存凭据或配置文件删除功能，而不是猜一个文件名。操作系统自带的配置文件通常位于系统存储，第三方客户端往往维护自己的配置目录，而只有客户端自身的删除路径知道用了哪一种。这份清单告诉你的也是实际存在哪些副本，而不是你记得创建过哪些，两者很少一致。

删除任何东西之前，先弄清这个条目指向什么。一份配置文件可能指向单独的密码文件、导出的证书或内嵌的私钥，而删除连接并不一定连带删除其中任何一个。

把找到的东西和位置写下来。正是这份清单让下一步安全，因为它告诉你实际存在哪些副本，而不是你记得创建过哪些。

检查配置文件引用的文件

查看客户端的配置目录、下载文件夹，以及你有权管理的任何导出位置。旧安装包和支持打包文件是没人记得复制过的密钥最常见的落脚处，而审计事后找到的正是这些。也要看修改时间，因为支持会话期间复制出来的密钥，说出日期比解释清楚更容易。

不要在共享机器上删除别人的身份材料；除非这个决定该由你来做，也不要动受管理组织的配置文件。删掉别人的证书可能变成一桩写着你的名字的故障，而那并不是「把这台电脑上的 VPN 清理掉」的意思。

在 macOS 上，Keychain Access 有自己的一套有文档的控制项，条目可能挂在客户端选定的名称下，而不是配置文件名下。在其他平台上，请按客户端和系统的实际说明操作，而不是照搬论坛帖子里的通用文件名偏方。

判断服务器端是否也需要吊销

删除本地副本并不会停用远程账户，也不会吊销公钥授权。如果设备不再可信，或者某个秘密可能被复制过，就使用运营方的密码、证书或对等端移除流程。这一步常被跳过，而它是唯一能改变对端接受什么的步骤。

按设备分开的身份让这件事可行：你可以让共享电脑上的某一套安装退役，而不影响该用户的其他设备。只改密码可能吊销不了单独的客户端证书或每一个会话令牌，所以要确认究竟是哪份凭据在认证这条连接。

选择控制手段之前，先问运营方适用哪一种。为证书认证的隧道改密码，感觉有用，其实什么都没变。要索取能证明移除的凭据产物，而不是口头确认，因为审计人员接受的正是这份产物。然后把它归档在工单旁边。

两边都要验证

重新打开客户端确认配置文件不在，以此检查本地一侧；然后再看一遍被引用的文件——磁盘上残留的密钥就是发现本身，不是外观问题。用运营方提供的任何东西确认移除已经生效，以此检查服务器一侧：对等端列表、证书吊销记录或会话表。服务器一侧的检查要从另一台机器做，因为关键是对端接受什么，而不是这台电脑相信什么。

记录这件事，但不要记录秘密。写清删除了哪份配置文件、由谁在何时执行的支持备注就够了；把凭据粘进备注，等于在另一个系统里重新制造同一个问题。

在 macOS 上，Apple 的 Keychain Access 指南 是那个存储的参考文献，删除并非由你创建的条目之前值得一读。

让设备停在一个你解释得清的状态

用一句话收尾，说明什么没了、什么还在：客户端配置文件已删除、凭据存储条目已删除、密钥文件已抹除、服务器端身份已吊销。只要有一行写着「大概」，就没有做完。也要写明服务器端的移除由谁执行，因为共享机器会换手而不留变更记录。这份说明要存进设备记录，而不是私人笔记。

在共享电脑上，这份说明就是交接本身。下一个人需要知道的是：这台机器是干净的，还是只是退出了登录。